HSTS und CSP mit Contao 4

Hallo zusammen,

ich setze mich gerade zum ersten Mal mit HTTP Strict Transport Security und Content Security Policy auseinander. Wie setzt man diese Header in Contao 4? Ich habe da verschiedene Ansätze gefunden, werde aber nicht wirklich schlau aus den Beschreibungen. Vielleicht hat das jemand von Euch bereits erfolgreich implementiert und kann mir da seine .htaccess-Enträge oder Templates zeigen. Vielen Dank vorab!

Das kannst du beides mit dem Nelmio Security Bundle konfigurieren, welches bereits von Contao genutzt wird. Bedenke aber, dass du für CSP evt. einige Anpassungen machen musst, wenn du JavaScript Templates einsetzt bspw.

Wo konfiguriert man das Nelmio Bundle? Im Backend finde ich nichts und ich kann auf Github nicht finden, wo man die Konfiguration in Contao machen müsste.

Auch, wenn das Thema schon älter ist:

In der parameters.yml z.B. folgendes einfügen:

Code:

---

nelmio_security:
    forced_ssl:
        hsts_max_age: 31536000 # 1 year
        hsts_subdomains: true

---

und dann den Cache neu aufbauen.