HTTP X-XSS-Protection Header

Der HTTP-Header X-XSS-Protection ist ein Response-Header, der Legacy-Browser XSS-Filter (XSS-Auditor) steuert. Er schützt vor Reflected-XSS-Angriffen in älteren Browsern, moderne Browser haben XSS-Auditor entfernt zugunsten Content-Security-Policy.

Typ

Response-Header

Syntax

Der Header aktiviert oder deaktiviert XSS-Filter mit optionalen Direktiven.

http 
X-XSS-Protection: 0
X-XSS-Protection: 1; mode=block

Direktiven

Die Direktiven definieren XSS-Filter-Verhalten.

0
XSS-Filter deaktiviert, Browser blockiert keine vermuteten XSS-Angriffe.
1
XSS-Filter aktiviert, Browser sanitizes verdächtige Scripts (default bei fehlendem Header).
1; mode=block
XSS-Filter aktiviert mit Blocking-Mode, Browser blockiert gesamte Seite bei XSS-Verdacht.
1; report=<uri>
XSS-Filter sendet CSP-Violation-Report an URI (Chrome/WebKit only, deprecated).

Beispiele

Nachfolgend finden Sie praktische Anwendungsbeispiele für den X-XSS-Protection-Header.

Beispiel 1 XSS Filter deaktiviert

http 
HTTP/1.1 200 OK
Content-Type: text/html
X-XSS-Protection: 0
Content-Security-Policy: default-src 'self'

<!DOCTYPE html>...

Moderne Website deaktiviert Legacy-XSS-Filter und verlässt sich auf CSP für XSS-Schutz.

Beispiel 2 Block Mode fuer Legacy Browser

http 
HTTP/1.1 200 OK
Content-Type: text/html
X-XSS-Protection: 1; mode=block
Content-Security-Policy: default-src 'self'; script-src 'self'

<!DOCTYPE html>...

Defense-in-Depth Ansatz mit CSP für moderne Browser und XSS-Protection für IE11/alte Edge-Versionen.

Beispiel 3 XSS auf User Content Site

http 
HTTP/1.1 200 OK
Content-Type: text/html
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff

<!DOCTYPE html>...User Generated Content...

User-Content-Plattform kombiniert X-XSS-Protection mit nosniff für mehrschichtige XSS-Abwehr.

Vorteile für die Systemarchitektur

  • Legacy-Browser-Schutz: Reflected-XSS-Schutz für IE11 und alte Safari-Versionen
  • Defense-in-Depth: Ergänzt CSP für Anwendungen mit breiter Browser-Unterstützung
  • Einfache Aktivierung: Single-Header ohne komplexe Konfiguration für Basic-Schutz

Spezifikation

MSDN X-XSS-Protection Documentation (historisch) https://docs.microsoft.com/en-us/archive/blogs/ieinternals/controlling-the-xss-filter

Weitere Spezifikationen

Content-Security-Policy Header, X-Frame-Options Header