# Webserver absichern

Konfiguration für `software.obraasch.de`. CloudPanel arbeitet in der Regel mit
nginx — nimm den entsprechenden Abschnitt und lade danach neu.

Die Startseite `index.php` setzt ihre eigenen Header bereits selbst. Die
folgende Konfiguration deckt zusätzlich die statischen Dateien ab, also
auch `json-workbench.html` und die Rechtstexte.

---

## nginx

In den `server`-Block der Site einfügen:

```nginx
# --- Sicherheitsheader für alle Antworten ---
add_header X-Content-Type-Options   "nosniff"                        always;
add_header X-Frame-Options          "SAMEORIGIN"                     always;
add_header Referrer-Policy          "strict-origin-when-cross-origin" always;
add_header Permissions-Policy       "geolocation=(), microphone=(), camera=(), payment=(), usb=()" always;
add_header Cross-Origin-Opener-Policy "same-origin"                  always;

# HSTS erst aktivieren, wenn HTTPS sicher und dauerhaft läuft.
# Ein zu früh gesetzter Wert sperrt Besucher für die angegebene Dauer aus,
# falls das Zertifikat später Probleme macht.
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# --- Verstecktes und Sensibles nicht ausliefern ---
location ~ /\. {
    deny all;
}
location ~* /(tool\.json|LICENSE|README\.md|\.md)$ {
    deny all;
}
# Die Datenbank-Brücke enthält Zugangsdaten und darf nie als Quelltext
# ausgeliefert werden. Das passiert nur, wenn PHP ausfällt - deshalb
# zur Sicherheit ausdrücklich absichern:
location = /db-bridge.php {
    # Beispiel: nur aus dem eigenen Netz erreichbar. Anpassen oder entfernen,
    # wenn die Brücke von außen benutzt werden soll.
    # allow 192.168.0.0/16;
    # deny all;
    include snippets/fastcgi-php.conf;
    fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
}

# --- Verzeichnislisten abschalten ---
autoindex off;

# --- Uploads klein halten ---
client_max_body_size 4m;
```

### Content-Security-Policy für das Werkzeug

Wenn die Bibliotheken lokal in `lib/` liegen, kannst du die Regeln eng ziehen.
`unsafe-inline` ist nötig, weil Stile und Skript direkt in der HTML-Datei
stehen; `unsafe-eval` benötigt der JSON-Editor für seine Abfragesprache.

```nginx
location /json-workbench/ {
    add_header Content-Security-Policy
        "default-src 'self'; \
         script-src 'self' 'unsafe-inline' 'unsafe-eval'; \
         style-src 'self' 'unsafe-inline'; \
         img-src 'self' data:; \
         font-src 'self'; \
         connect-src *; \
         frame-ancestors 'none'; \
         base-uri 'none'" always;
}
```

`connect-src *` ist Absicht: URL-Import, Webhook und Datenbankanbindung
sprechen Adressen an, die die Nutzer selbst eingeben. Willst du das
einschränken, trage statt `*` die erlaubten Ziele ein — dann funktionieren
diese drei Funktionen nur noch mit diesen Zielen.

Lädst du die Bibliotheken doch vom CDN, ergänze bei `script-src` und
`style-src` zusätzlich `https://cdn.jsdelivr.net`.

---

## Apache (.htaccess)

```apache
<IfModule mod_headers.c>
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "geolocation=(), microphone=(), camera=(), payment=(), usb=()"
    Header always set Cross-Origin-Opener-Policy "same-origin"
    # Erst aktivieren, wenn HTTPS dauerhaft steht:
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

# Verzeichnislisten abschalten
Options -Indexes

# Versteckte Dateien und Metadaten schützen
<FilesMatch "^\.|(tool\.json|LICENSE|README\.md)$">
    Require all denied
</FilesMatch>

# Nur nötig, falls die Domain nicht ohnehin auf HTTPS zwingt
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{HTTPS} !=on
    RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>
```

---

## Noch ein paar Punkte

- **PHP-Version aktuell halten.** `index.php` und `db-bridge.php` brauchen
  mindestens PHP 8.0.
- **Fehlermeldungen nicht anzeigen.** In der `php.ini` produktiv
  `display_errors = Off` und `log_errors = On`. Eine PHP-Fehlermeldung verrät
  sonst Pfade und unter Umständen Zugangsdaten.
- **Keine Backup-Dateien im Web-Verzeichnis.** Dateien wie
  `db-bridge.php.bak` oder `index.php~` werden als Klartext ausgeliefert. Der
  Editor-Ordner `.git` gehört ebenfalls nicht auf den Webserver — die
  `\.`-Regel oben fängt das ab.
- **Automatische Zertifikatserneuerung prüfen**, bevor du HSTS einschaltest.
- **Logfile-Aufbewahrung** an das anpassen, was in der Datenschutzerklärung
  steht. Beides muss zusammenpassen.