Sicherheit
HTTPS, Sicherheits-Einstellungen und sichere Zugänge.
Das Schloss im Browser: SSL
Wenn neben deiner Adresse ein Schloss steht und sie mit https:// beginnt, ist die Verbindung verschlüsselt. Ohne das warnen Browser deine Besucher, und Google rankt die Seite schlechter.
Bei Hostinger ist das Zertifikat kostenlos und wird automatisch eingerichtet, sobald deine Domain auf Hostinger zeigt. Das dauert meist 15 bis 60 Minuten.
Aus der Praxis: Wenn deine Seite vorher bei einem anderen Anbieter lag, kann es sein, dass dein Browser die neue Seite erst öffnet, wenn das Zertifikat fertig ist. Einfach etwas warten.
Sichere Zugänge
Der häufigste Weg, wie Websites gekapert werden, ist nicht Technik, sondern ein schwaches Passwort.
- Nutze für Hoster und Domain-Anbieter unterschiedliche, lange Passwörter. Ein Passwort-Manager hilft.
- Schalte überall die Zwei-Faktor-Anmeldung ein. Dann reicht ein gestohlenes Passwort nicht aus.
- Gib Helfern lieber einen eigenen Zugang oder einen Schlüssel statt deines Passworts.
TLS und Weiterleitungen
Hostinger stellt Let’s-Encrypt-Zertifikate aus („Lifetime SSL“), sobald A @ und www auf den Server zeigen. Danach kanonische Weiterleitung per .htaccess:
RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\. [NC]
RewriteRule ^ https://deinname.de%{REQUEST_URI} [R=301,L]Erzwinge HTTPS erst, wenn das Zertifikat aktiv ist. Beachte: Hat der Vorgänger HSTS gesendet (z. B. Wix mit max-age=31556952), erreichen Bestandsbesucher die Seite bis zur Zertifikatsausstellung gar nicht.
Sicherheits-Header
Header set Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'; frame-ancestors 'none'; base-uri 'self'"
Header set X-Content-Type-Options "nosniff"
Header set Referrer-Policy "strict-origin-when-cross-origin"
Header set Permissions-Policy "camera=(), microphone=(), geolocation=()"frame-ancestors wirkt nur als HTTP-Header, nicht im <meta>-Tag. Externe Schriften und Skripte am besten selbst hosten: Das vereinfacht die CSP und vermeidet DSGVO-Probleme.
Zugänge
- 2FA bei Registrar und Hoster, möglichst mit Passkey oder App.
- Deploy per SSH-Key statt Passwort; ein eigener Key pro Rechner, jederzeit im hPanel widerrufbar.
- Zugangsdaten und Konfigurationsdateien außerhalb von
public_htmlablegen und nie ins Git-Repo.
Keine Lust auf DNS und Einträge?
Wir richten das für dich ein und erklären dir am Ende, was wir gemacht haben.
Projekt konfigurieren