Beispiel: Eine Serverregel setzt noindex für mehr Inhalte als vorgesehen
Ein X-Robots-Tag für Download-Dateien kann durch ein zu weit gefasstes Muster auch öffentliche HTML-Seiten treffen. Eine Änderung am Seiteninhalt hilft dann nicht, weil der Header erst bei der Auslieferung ergänzt wird. Ähnliche Konflikte entstehen bei Redirects und mehrfach gesetzten Sicherheitsheadern.
Die auslösende Stelle finden
Vergleichen Sie eine betroffene HTML-Seite, eine echte Download-Datei und eine unauffällige Ressource. Lesen Sie die vollständigen Antwortheader mit Statuscode und Weiterleitungsfolge. Prüfen Sie die Regeln von Anwendung, Webserver, Reverse Proxy und CDN einzeln, soweit Sie Zugriff auf diese Ebenen haben.
Einen begrenzten Fix prüfen
Begrenzen Sie die verantwortliche Regel auf die vorgesehenen Pfade oder Dateitypen. Vermeiden Sie mehrere überlagerte Korrekturen, die den falschen Header später wieder überschreiben. Testen Sie Sicherheitsänderungen wie HSTS oder CSP mit ihren jeweiligen Nebenwirkungen, statt sie nur zum Entfernen einer Audit-Warnung einzuschalten.
Kontrollieren Sie das Ergebnis an der öffentlichen Adresse und an unterschiedlichen Inhaltstypen. Ein erfolgreicher HEAD-Test allein ist nicht ausreichend, wenn GET-Antworten durch einen anderen Anwendungspfad laufen. Halten Sie fest, welche Ebene den Header künftig verantwortet.
Symptome im Audit
- Fehler ist im HTML nicht sichtbar
- HEAD und GET liefern unterschiedliche Signale
- nur bestimmte Pfade, Hosts oder Dateitypen sind betroffen
So prüfen Sie die Ursache
- 1. HTTP-Status, Header und Weiterleitungskette prüfen
- 2. Regeln in .htaccess, Nginx, CDN oder Hosting-Panel abgleichen
- 3. www/non-www und http/https getrennt testen
Fix-Route
- Header-Regeln pro Pfad präzisieren
- Weiterleitungen vereinfachen
- Indexierungs- und Security-Header getrennt behandeln