Security-Header

securityHeaders() ergänzt ein sinnvolles Set an Security-Response-Headern. Jeder Header ist einzeln überschreibbar, false lässt einen weg, und ein vom Handler bereits gesetzter Header gewinnt immer.

`false` lässt einen Header weg, es entfernt ihn nicht

Das Bündel ergänzt nur. Als Middleware läuft es auf dem auf, was das Backend ohnehin schreibt — false heißt also “diese Middleware fügt ihn nicht hinzu”, nicht “diese Response trägt ihn nicht”.

Sichtbar wird der Unterschied heute an genau einer Stelle. X-Content-Type-Options: nosniff schreibt jedes Backend vor jede Response, die es ausliefert; securityHeaders({ contentTypeOptions: false }) lässt den Header also stehen. Um ihn nicht mehr zu senden, ersetzt du die Defaults des Backends serverweit: newServerAt(…).withSecurityHeaders({ contentTypeOptions: false }) — oder withSecurityHeaders(false) für gar keinen davon.

Ein Opt-out pro Teilbaum gibt es bewusst nicht: Die Kopie des Backends hat das letzte Wort, gerade damit auch die 404s, Body-Parse-413s und Error-Kurzschlüsse abgedeckt sind, die nie eine Middleware erreichen.

import { securityHeaders, withMiddleware } from 'actor-ts/http';

const routes = withMiddleware(securityHeaders(), appRoutes);

Defaults: X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: no-referrer, Cross-Origin-Opener-Policy: same-origin, Cross-Origin-Resource-Policy: same-origin und X-XSS-Protection: 0 (der Legacy-Filter ist fehlerhaft — aus ist am sichersten). COEP, Permissions-Policy und HSTS sind opt-in.

Konfiguration

Builder-Methode	Default
withContentTypeOptions(flag?)	nosniff an
withFrameOptions('DENY' | 'SAMEORIGIN' | false)	'DENY'
withReferrerPolicy(value | false)	'no-referrer'
withCrossOriginOpenerPolicy(v | false)	'same-origin'
withCrossOriginResourcePolicy(v | false)	'same-origin'
withCrossOriginEmbedderPolicy(v | false)	false (bricht Embeds; opt-in)
withPermissionsPolicy(map | false)	false
withHsts(options | false)	false (opt-in)

const options = SecurityHeadersOptions.create()
  .withFrameOptions('SAMEORIGIN')
  .withHsts({ maxAge: 31_536_000, preload: true });

CSP ist bewusst nicht Teil des Bündels — es ist zu app-spezifisch; konfiguriere es mit contentSecurityPolicy.

HSTS allein — strictTransportSecurity

import { strictTransportSecurity, HstsOptions, withMiddleware } from 'actor-ts/http';

const hsts = strictTransportSecurity(
  HstsOptions.create().withMaxAge(31_536_000).withIncludeSubDomains().withPreload(),
);

Defaults: max-age 180 Tage + includeSubDomains. Der Header wird bedingungslos gesetzt — ein Browser ignoriert ihn über reines HTTP, ein Dev-Server ist also ein harmloser No-op, und Framework-Server sitzen ohnehin meist hinter einem TLS-terminierenden Proxy.

preload ist eine Verpflichtung

withPreload() erfordert maxAge ≥ 1 Jahr + includeSubDomains (die hstspreload.org-Regeln — zur Konstruktionszeit erzwungen). Eine Aufnahme in die Preload-Liste ist schwer rückgängig zu machen; stelle sicher, dass zuerst jede Subdomain HTTPS ausliefert.

Wie weiter

• CSP — Content-Security-Policy.
• CORS — Cross-Origin-Requests.
• Sicherheit — der vollständige empfohlene Stack.