Viele Angriffe auf Webanwendungen laufen über den Browser. ZelixAI setzt mehrere Standardmaßnahmen dagegen ein.
CSRF: Jede Änderung im Portal erfordert ein CSRF-Token, das zu Ihrer Sitzung gehört, sodass ein Formular auf einer anderen Website keine Änderungen in Ihrem Namen vornehmen kann. CSP (Content Security Policy) begrenzt, aus welchen Quellen der Browser Skripte, Stile und andere Inhalte laden darf. Inline-Skripte sind noch erlaubt; CSP ist hier also eine Einschränkung, keine vollständige Sperre.
HSTS weist den Browser nach dem ersten Besuch an, ein Jahr lang nur HTTPS zu verwenden, einschließlich Subdomains. Zusätzlich senden wir X-Frame-Options gegen das Einbetten in andere Websites (Clickjacking) und nosniff, damit der Browser keine Dateitypen errät.