HTTP-Response-Header-Checker

HTTP Strict Transport Security (HSTS) mit der Preload-Direktive weist Browser an, unverschlüsselte HTTP-Verbindungen abzulehnen und das Überschreiben von Zertifikatsfehlern zu verbieten. Wenn sich ein Gast mit dem WiFi verbindet und versucht, eine Domain mit HSTS-Preloading (wie google.com) zu öffnen, kann das HTTP-Interception des Wireless-Controllers kein gültiges Zertifikat für diese Domain vorlegen. Der Browser zeigt eine blockierende SSL-Warnung an, anstatt zum Captive Portal weiterzuleiten. Moderne Netzwerke nutzen die RFC 8908 Captive Portal API oder Captive-Portal-Prüfdomains von Apple/Android (wie captive.apple.com), die HSTS absichtlich weglassen.

Splash Pages von Captive Portals erfordern eine ausgewogene CSP, die wichtige Authentifizierungs-Assets zulässt und gleichzeitig Cross-Site-Scripting (XSS) verhindert. Die Richtlinie sollte Skripte und Styles von vertrauenswürdigen CDNs und Social-Login-Identitätsanbietern (wie Google, Apple und Microsoft) erlauben, während default-src 'self' eingeschränkt und die Ausführung nicht vertrauenswürdiger Inline-Skripte untersagt wird. Zudem müssen die Weiterleitungsdomains für Social Auth im Walled Garden des Netzwerk-Controllers auf die Whitelist gesetzt werden.

Der Header X-Frame-Options: DENY oder SAMEORIGIN (und die moderne CSP-Direktive frame-ancestors) verhindert, dass bösartige Websites von Drittanbietern das Login-Formular des Captive Portals in einem unsichtbaren Iframe darstellen. Dies eliminiert Clickjacking-Angriffe, bei denen Angreifer Besucher dazu verleiten, Anmeldedaten oder Social-Authorization-Token zu übermitteln.

Eine HTTP-302-Found-Weiterleitung wird häufig von älteren Netzwerk-Controllern verwendet, um erste HTTP-Anfragen an die URL der Splash Page weiterzuleiten, allerdings wechseln Clients dabei möglicherweise von POST- zu GET-Anfragen. Eine temporäre HTTP-307-Weiterleitung garantiert, dass die HTTP-Methode und der Anfragetext während der Weiterleitung unverändert bleiben. Für moderne Captive-Netzwerke bietet RFC 8908 einen standardisierten JSON-Endpunkt, der eine HTTP-Interception vollständig überflüssig macht.

Der Header X-Content-Type-Options: nosniff zwingt Browser dazu, sich strikt an den im Content-Type-Header deklarierten MIME-Typ zu halten. Dies verhindert MIME-Sniffing-Angriffe, bei denen von Benutzern hochgeladene Dateien oder bösartige Textausschnitte in anfälligen Browsern als ausführbares JavaScript oder CSS ausgeführt werden.

Permissions-Policy (ehemals Feature-Policy) ermöglicht es Website-Betreibern, sensible Hardware-APIs wie Kamera, Mikrofon, Geolokalisierung und Zahlungsanfragen im Browser-Kontext zu deaktivieren. Die Deaktivierung nicht genutzter Gerätefunktionen auf Gäste-WiFi-Landingpages gibt Besuchern die Gewissheit, dass das Portal Datenschutzstandards respektiert.