[{"data":1,"prerenderedAt":141},["ShallowReactive",2],{"blog-tag-de-browser-isolierung":3},{"tagName":4,"posts":5},"Browser-Isolierung",[6],{"id":7,"title":8,"author":9,"body":10,"category":107,"date":108,"description":109,"extension":110,"faq":111,"meta":130,"navigation":131,"path":132,"readingTime":133,"seo":134,"slug":135,"stem":136,"tags":137,"__hash__":140},"blog\u002Fblog\u002Fde\u002Fwhat-is-cross-origin-opener-policy.md","Was ist der Cross-Origin-Opener-Policy Header und warum ist er wichtig?","EuroraCloud Team",{"type":11,"value":12,"toc":96},"minimark",[13,17,21,26,29,32,36,39,42,46,49,52,56,59,62,66,69,72,76,79,89,93],[14,15,8],"h1",{"id":16},"was-ist-der-cross-origin-opener-policy-header-und-warum-ist-er-wichtig",[18,19,20],"p",{},"Der Cross-Origin-Opener-Policy Header, meist als COOP geschrieben, ist ein Response-Header, der steuert, ob Ihre Seite eine Fensterbeziehung mit Seiten anderer Origins teilt. Auf same-origin gesetzt, isoliert er Ihr Dokument in einer eigenen Browsing Context Group, sodass eine Seite einer anderen Origin, die die Ihre öffnet oder die Sie öffnen, keine skriptfähige Referenz zurück auf Ihr Fenster halten kann. Das schließt eine Klasse von Cross-Origin-Angriffen, die als XS-Leaks und Side-Channel-Angriffe bekannt sind, und es ist zugleich die Einstellung, die bestimmte leistungsstarke Browserfunktionen freischaltet.",[22,23,25],"h2",{"id":24},"warum-gibt-es-den-cross-origin-opener-policy-header","Warum gibt es den Cross-Origin-Opener-Policy Header?",[18,27,28],{},"COOP existiert, weil das Öffnen eines Fensters eine Verbindung schafft, die missbraucht werden kann. Wenn eine Seite eine andere mit window.open() öffnet, oder eine Seite die Ihre öffnet, kann der Browser über die Eigenschaft window.opener eine Referenz zwischen den beiden Fenstern behalten. Stammen diese beiden Seiten von unterschiedlichen Origins, wird diese Referenz zu einem Weg, über den eine Cross-Origin-Seite die Ihre ausspähen kann.",[18,30,31],{},"Die Angriffe, die dies ermöglicht, sind subtil. Sie stehlen Ihre Daten nicht direkt, sondern leiten sie über Side Channels, Timing und gemeinsam genutzten Browserzustand ab, in einer Familie von Techniken, die die Sicherheitsgemeinschaft XS-Leaks nennt. Laut der Dokumentation von Mozilla wurde COOP genau dafür eingeführt, dass eine Website sicherstellen kann, dass ihr Top-Level-Dokument keine Browsing Context Group mit Cross-Origin-Dokumenten teilt, und genau das trennt diese Referenz und schließt den Weg.",[22,33,35],{"id":34},"was-leistet-der-cross-origin-opener-policy-header-eigentlich","Was leistet der Cross-Origin-Opener-Policy Header eigentlich?",[18,37,38],{},"COOP entscheidet, ob Ihr Dokument und die Seiten, mit denen es interagiert, zur selben Browsing Context Group gehören, dem internen Browserbegriff, der bestimmt, ob zwei Fenster einander skripten können. Wenn Sie ihn streng setzen, kommt Ihr Fenster in eine eigene Gruppe, und jedes Cross-Origin-Fenster verliert seine Referenz auf das Ihre.",[18,40,41],{},"Der Header kennt eine kleine Wertemenge. Der Standardwert, unsafe-none, wendet keine Isolierung an und lässt Ihr Dokument eine Browsing Context Group mit Cross-Origin-Seiten teilen. Der strenge Wert, same-origin, isoliert Ihr Dokument so, dass nur Same-Origin-Seiten, die selbst ebenfalls same-origin setzen, in derselben Gruppe bleiben können. Ein Zwischenwert, same-origin-allow-popups, erhält diese Isolierung, lässt aber Popups, die Sie selbst öffnen, normal funktionieren, was die praktische Wahl für Websites ist, die auf Popup-Abläufe wie Bezahlung oder Single Sign-on angewiesen sind. Wird ein Cross-Origin-Fenster unter same-origin geöffnet, wird sein window.opener zu null, sodass die Referenz schlicht nicht existiert.",[22,43,45],{"id":44},"was-passiert-wenn-sie-ihn-nicht-setzen","Was passiert, wenn Sie ihn nicht setzen?",[18,47,48],{},"Ohne COOP gilt der Standard unsafe-none, was bedeutet, dass es keine Isolierung gibt und die Fensterreferenz offen bleibt. Eine Cross-Origin-Seite, die die Ihre öffnet, oder die Sie öffnen, kann einen Zugriff auf Ihr Fenster behalten und ihn als Ansatzpunkt für die oben beschriebenen Side-Channel-Techniken nutzen.",[18,50,51],{},"Dies ist eine leise Lücke, keine laute. Nichts auf Ihrer Website wirkt kaputt, und die meisten Besucher werden sie nie auslösen, und genau deshalb bleibt sie oft unbehandelt. Doch für eine Website, die etwas Sensibles verarbeitet, einen Login, ein Patientenportal, einen Bezahlschritt, ist das Offenlassen der Fensterbeziehung eine vermeidbare Angriffsfläche, und es ist eine, die Sicherheitsscanner und Audits zunehmend als fehlenden Header kennzeichnen.",[22,53,55],{"id":54},"wie-implementieren-sie-den-cross-origin-opener-policy-header","Wie implementieren Sie den Cross-Origin-Opener-Policy Header?",[18,57,58],{},"Sie setzen COOP als einen einzigen HTTP-Response-Header. Für die meisten Websites ist der richtige Startwert Cross-Origin-Opener-Policy: same-origin-allow-popups, der Ihnen Isolierung gibt und zugleich Popup-Abläufe erhält; eine Website ohne solche Abhängigkeiten kann zum strengeren same-origin wechseln. Er kann am Webserver, in der Anwendungsebene oder am Rand in einem CDN oder einer Sicherheitsschicht vor der Website hinzugefügt werden.",[18,60,61],{},"Die einzige nachdrückliche Empfehlung lautet: testen, bevor Sie erzwingen. COOP unterstützt einen Report-only-Modus, gesendet als Cross-Origin-Opener-Policy-Report-Only, der die Reporting-API des Browsers nutzt, um Ihnen mitzuteilen, was die Richtlinie brechen würde, ohne dass tatsächlich etwas bricht. Zuerst Report-only zu betreiben, auf Popup- oder Fensterabläufe zu achten, die betroffen wären, und erst dann auf den erzwungenen Header umzuschalten, ist der sichere Weg, besonders bei einer Website mit Integrationen Dritter, die Sie nicht selbst gebaut haben.",[22,63,65],{"id":64},"was-ändert-sich-auf-ihrer-website-sobald-er-aktiv-ist","Was ändert sich auf Ihrer Website, sobald er aktiv ist?",[18,67,68],{},"Für die meisten Websites nichts Sichtbares. Gewöhnliche Seitenaufrufe, Navigation und Same-Origin-Verhalten bleiben unberührt, und die Isolierung geschieht unsichtbar auf Browserebene. Der Gewinn ist, dass Cross-Origin-Fenster keine Referenz auf das Ihre mehr halten können, was die Angriffsfläche beseitigt, ohne die Nutzererfahrung zu berühren.",[18,70,71],{},"Zu prüfen ist jeder Ablauf, der bewusst eine andere Origin öffnet oder von ihr geöffnet wird. Ein Zahlungsanbieter, ein Identity Provider oder ein eingebettetes Tool, das über Fensterreferenzen kommuniziert, kann von einem strengen Same-Origin-Wert betroffen sein, und genau deshalb gibt es same-origin-allow-popups und deshalb ist das Testen im Report-only-Modus wichtig. Es gibt auch einen erwähnenswerten Vorteil: same-origin gemeinsam mit dem verwandten Cross-Origin-Embedder-Policy Header zu setzen, versetzt Ihr Dokument in einen Cross-Origin-Isolated-Zustand, den manche leistungsstarke Browserfunktionen voraussetzen, etwa SharedArrayBuffer und hochauflösende Timer.",[22,73,75],{"id":74},"was-sollten-sie-als-nächstes-tun","Was sollten Sie als Nächstes tun?",[18,77,78],{},"Prüfen Sie zunächst, ob Ihre Website überhaupt einen Cross-Origin-Opener-Policy Header sendet, denn der Standard ohne Header bedeutet keine Isolierung. Fehlt er, ist der risikoarme Weg, ihn im Report-only-Modus hinzuzufügen, zu bestätigen, dass in Ihren Popup- oder Drittanbieter-Abläufen nichts bricht, und dann same-origin-allow-popups als sinnvollen Standard zu erzwingen, oder same-origin, wenn Ihre Website keine Popup-Abhängigkeiten hat.",[18,80,81,82],{},"Wenn Sie dies über Ihre gesamte Website hinweg korrekt prüfen und konfigurieren lassen möchten statt Stück für Stück, kann EuroraCloud Ihre aktuellen Security Header überprüfen und Ihnen zeigen, was unsere Plattform löst. ",[83,84,88],"a",{"href":85,"rel":86},"https:\u002F\u002Fwww.euroracloud.eu\u002F?utm_source=blog&utm_medium=article&utm_campaign=coop",[87],"nofollow","Sehen Sie, was EuroraCloud löst",[22,90,92],{"id":91},"fazit-was-sollten-sie-zum-cross-origin-opener-policy-header-mitnehmen","Fazit: Was sollten Sie zum Cross-Origin-Opener-Policy Header mitnehmen?",[18,94,95],{},"COOP ist ein leiser, aber lohnender Header: Er isoliert Ihr Browserfenster von Cross-Origin-Seiten und schließt eine Klasse von Side-Channel- und Popup-Angriffen, die kein sichtbares Zeichen hinterlassen, bis ein Scanner oder ein Angreifer sie findet. Für die meisten Websites ist der sichere Weg, im Report-only-Modus zu testen und dann same-origin-allow-popups zu erzwingen, was das Fenster schützt und zugleich legitime Popup-Abläufe erhält. Der nützlichste Schritt ist zu prüfen, ob Ihre Website den Header heute sendet, denn solange sie das nicht tut, ist der Standard gar keine Isolierung.",{"title":97,"searchDepth":98,"depth":98,"links":99},"",2,[100,101,102,103,104,105,106],{"id":24,"depth":98,"text":25},{"id":34,"depth":98,"text":35},{"id":44,"depth":98,"text":45},{"id":54,"depth":98,"text":55},{"id":64,"depth":98,"text":65},{"id":74,"depth":98,"text":75},{"id":91,"depth":98,"text":92},"Security Header","2026-07-13","Der Cross-Origin-Opener-Policy Header ermöglicht es einer Seite, ihr Browserfenster von Cross-Origin-Seiten zu isolieren, die sie öffnen oder von ihr geöffnet werden, und schließt so eine Klasse von Side-Channel- und Popup-Angriffen. Das leistet der Header, so setzen Sie ihn, und das ändert sich dadurch.","md",[112,114,116,119,121,124,127],{"question":25,"answer":113},"COOP existiert, weil das Öffnen eines Fensters eine skriptfähige Verbindung schafft, die missbraucht werden kann. Wenn eine Seite eine andere öffnet, kann der Browser über window.opener eine Referenz zwischen den beiden Fenstern behalten, und stammen die Seiten von unterschiedlichen Origins, wird diese Referenz zu einem Weg, über den eine Cross-Origin-Seite die Ihre über Side Channels und Timing ausspähen kann, eine Familie von Techniken, die als XS-Leaks bekannt ist. COOP lässt eine Website sicherstellen, dass ihr Top-Level-Dokument keine Browsing Context Group mit Cross-Origin-Dokumenten teilt, was diese Referenz trennt.",{"question":35,"answer":115},"COOP entscheidet, ob Ihr Dokument und die Seiten, mit denen es interagiert, zur selben Browsing Context Group gehören, dem internen Browserbegriff, der bestimmt, ob zwei Fenster einander skripten können. Streng gesetzt kommt Ihr Fenster in eine eigene Gruppe und Cross-Origin-Fenster verlieren ihre Referenz auf das Ihre. Die Werte sind unsafe-none (Standard, keine Isolierung), same-origin (strenge Isolierung) und same-origin-allow-popups (Isolierung, die von Ihnen geöffnete Popups zulässt). Unter same-origin wird der window.opener eines Cross-Origin-Fensters zu null.",{"question":117,"answer":118},"Was passiert, wenn Sie den Cross-Origin-Opener-Policy Header nicht setzen?","Ohne COOP gilt der Standard unsafe-none, was bedeutet, dass es keine Isolierung gibt und die Fensterreferenz offen bleibt. Eine Cross-Origin-Seite, die die Ihre öffnet, oder die Sie öffnen, kann einen Zugriff auf Ihr Fenster behalten und ihn als Ansatzpunkt für Side-Channel-Angriffe nutzen. Nichts wirkt kaputt, und deshalb bleibt es unbehandelt, doch für eine Website mit einem Login, Patientenportal oder Bezahlschritt ist es eine vermeidbare Angriffsfläche, die Scanner zunehmend kennzeichnen.",{"question":55,"answer":120},"Setzen Sie COOP als einen einzigen HTTP-Response-Header, am Webserver, in der Anwendungsebene oder am Rand. Für die meisten Websites ist der richtige Startwert same-origin-allow-popups, der Isolierung gibt und Popup-Abläufe erhält; eine Website ohne Popup-Abhängigkeiten kann das strengere same-origin verwenden. Testen Sie vor dem Erzwingen mit dem Report-only-Modus, gesendet als Cross-Origin-Opener-Policy-Report-Only, der meldet, was die Richtlinie brechen würde, ohne sie zu brechen.",{"question":122,"answer":123},"Was ändert sich auf Ihrer Website, sobald der Cross-Origin-Opener-Policy Header aktiv ist?","Für die meisten Websites ändert sich nichts Sichtbares; gewöhnliche Seitenaufrufe und Same-Origin-Verhalten bleiben unberührt und die Isolierung geschieht auf Browserebene. Zu prüfen ist jeder Ablauf, der bewusst eine andere Origin öffnet oder von ihr geöffnet wird, etwa ein Zahlungs- oder Identity-Provider, weshalb es same-origin-allow-popups gibt und das Testen im Report-only-Modus wichtig ist. same-origin gemeinsam mit Cross-Origin-Embedder-Policy zu setzen, aktiviert zudem einen Cross-Origin-Isolated-Zustand, den manche leistungsstarke Funktionen wie SharedArrayBuffer voraussetzen.",{"question":125,"answer":126},"Was sollten Sie als Nächstes zum Cross-Origin-Opener-Policy Header tun?","Prüfen Sie, ob Ihre Website überhaupt einen Cross-Origin-Opener-Policy Header sendet, denn kein Header bedeutet keine Isolierung. Fehlt er, fügen Sie ihn im Report-only-Modus hinzu, bestätigen Sie, dass in Ihren Popup- oder Drittanbieter-Abläufen nichts bricht, und erzwingen Sie dann same-origin-allow-popups als sinnvollen Standard, oder same-origin, wenn Ihre Website keine Popup-Abhängigkeiten hat.",{"question":128,"answer":129},"Was sollten Sie zum Cross-Origin-Opener-Policy Header mitnehmen?","COOP ist ein leiser, aber lohnender Header, der Ihr Browserfenster von Cross-Origin-Seiten isoliert und eine Klasse von Side-Channel- und Popup-Angriffen schließt, die kein sichtbares Zeichen hinterlassen. Für die meisten Websites ist der sichere Weg, im Report-only-Modus zu testen und dann same-origin-allow-popups zu erzwingen, was das Fenster schützt und legitime Popup-Abläufe erhält. Der nützlichste Schritt ist zu prüfen, ob Ihre Website den Header heute sendet, denn solange sie das nicht tut, ist der Standard gar keine Isolierung.",{},true,"\u002Fblog\u002Fde\u002Fwhat-is-cross-origin-opener-policy","7 Minuten",{"title":8,"description":109},"what-is-cross-origin-opener-policy","blog\u002Fde\u002Fwhat-is-cross-origin-opener-policy",[138,107,139,4],"Cross-Origin-Opener-Policy","Web-Sicherheit","dIQHUjFaEJBccxaQDY70KD3e_dwisCj55HESIIkenGg",1785141132296]