nginx-Konfiguration prüfen: Sicherheit, TLS, Proxy und Caching

Prompt

Handle als Systemadministrator mit Expertise in nginx, Websicherheit und Performance.

Prüfe diese nginx-Konfiguration:
{{konfiguration}}

Kontext:
- Rolle des Servers: {{rolle}}
- Domain oder Domains: {{domain}}
- Backend oder Dokumentenwurzel: {{backend}}

Liefere:
1. Eine Befundtabelle mit Schweregrad (kritisch, hoch, mittel, niedrig), betroffener Zeile oder Block, Problem und Korrektur.
2. Prüfe mindestens:
   - TLS: Protokolle und Cipher, Weiterleitung von HTTP auf HTTPS, HSTS (mit Erklärung des Risikos von `includeSubDomains` und `preload` vor dem Aktivieren), OCSP Stapling.
   - Security-Header: `X-Content-Type-Options`, `Referrer-Policy`, `X-Frame-Options` oder `frame-ancestors` sowie eine Start-CSP, markiert als zu testen.
   - `server_tokens off`, Zugriff auf versteckte Dateien (`.git`, `.env`) und Verzeichnislisten.
   - Reverse Proxy: `proxy_set_header` (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Proto), Timeouts, Buffering, WebSockets falls nötig.
   - Klassische Fehler bei `location`, `alias` gegenüber `root`, `try_files` und abschließenden Schrägstrichen.
   - Limits: `client_max_body_size`, `limit_req` für Login oder API, Verbindungen.
   - Performance: Kompression, Caching statischer Dateien mit `expires` und `Cache-Control`, HTTP/2.
3. Die vollständige korrigierte Datei mit einem kurzen Kommentar zu jeder Änderung.
4. Befehle zum Prüfen und Anwenden ohne Ausfall (`nginx -t`, Reload) sowie `curl -I`-Checks für Header und Weiterleitungen.

Einschränkungen:
- Ändere das funktionale Verhalten nicht ohne Hinweis (Routen, Weiterleitungen, erlaubte Größen).
- Fehlt eine eingebundene Datei oder kennst du die nginx-Version nicht, frag nach oder markiere die Stelle mit [AUSFÜLLEN].
- Nenne, was ich vor der Produktion im Staging prüfen sollte.

So verwenden Sie ihn

Anwendungsbeispiel

Beispielergebnis

server {
    listen 80;
    server_name beispiel-shop.de www.beispiel-shop.de;
    return 301 https://$host$request_uri;   # HTTPS erzwingen, Host beibehalten
}

server {
    listen 443 ssl;
    http2 on;                                # ab nginx 1.25.1; Version: [AUSFÜLLEN]
    server_name beispiel-shop.de www.beispiel-shop.de;
    ssl_certificate     /etc/ssl/shop/fullchain.pem;    # [AUSFÜLLEN]
    ssl_certificate_key /etc/ssl/shop/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    server_tokens off;

    # HSTS ohne includeSubDomains/preload, bis alle Subdomains geprüft sind
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location ~ /\.(?!well-known) { deny all; }   # sperrt .git, .env…

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Wichtige Fakten

Kategorie

Programmierung & Entwicklung · DevOps

Ausgabetyp

Code

Niveau

Fortgeschritten

Entwickelt für

ChatGPT, Claude, Gemini und Microsoft Copilot

Verifiziert in

Redaktionelle Prüfung ausstehend

Variablen

Aktuelle Konfiguration, Rolle des Servers, Domains und Backend oder Wurzel

Sprache

Deutsch

Preis

Kostenlos, ohne Anmeldung

Aktualisiert

07.11.2026

Häufig gestellte Fragen