Weiterleitungsseite gehärtet — Ziel-URLs werden jetzt maskiert

Beim Scannen eines Codes im Free-Tarif erscheint kurz eine Zwischenseite mit qr3-Branding, die das Weiterleitungsziel anzeigt. Diese Ziel-URL wurde bisher unmaskiert ausgegeben. Eine URL mit eingebettetem Markup konnte dadurch im Browser der scannenden Person ausgeführt werden.

Zwei Dinge sind jetzt anders. Erstens maskiert die Anzeige jede Ziel-URL, egal was darin steht. Zweitens verbietet eine Content-Security-Policy auf dieser Seite jede Skriptausführung — sie trägt selbst kein JavaScript, also kostet die strikte Regel nichts und fängt jeden künftig übersehenen Pfad ab.

Wir haben nachgesehen, ob die Lücke genutzt wurde: nein. Kein einziges Weiterleitungsziel, kein A/B-Ziel, keine Landingpage-Konfiguration und kein Dateiname im Bestand enthält Markup. Es gibt für dich nichts zu tun, keine Codes müssen neu erstellt werden.

Ebenfalls neu

Alle Antworten der Weiterleitungs-Infrastruktur tragen jetzt HTTP-Security-Header — Schutz vor Content-Sniffing und Clickjacking, HSTS sowie Referrer- und Permissions-Policy. Damit sind Dashboard, Dokumentation, Website und Weiterleitungen durchgängig abgedeckt.

Für hochgeladene Dateien, die über die Mini-Landingpage eines Codes bereitstehen, gilt zusätzlich: Sie werden mit X-Content-Type-Options: nosniff ausgeliefert, damit der Browser den Dateityp nicht mehr erraten kann. Formate ohne sinnvolle Browser-Ansicht kommen als Download statt als Seiteninhalt. PDFs, Bilder und Videos zeigt der Browser weiterhin direkt an, und eingebettete Datenblätter auf deiner eigenen Website funktionieren unverändert.