Praxisleitfaden zu Nonce vs. Hash 3: Boutique‑Stack, strikte CSP, Guard‑Kette, ASCII‑Assets, SQLite‑Tools, PDF/ICS, Stripe/Webhooks. Klar strukturiert und produktionsreif.
CSP: Wir fahren 'default-src 'none'' und öffnen nur gezielt, was wirklich gebraucht wird. Scripts laufen mit Nonce, Styles sind inline‑frei, Frames sind per frame‑ancestors gesperrt. Das minimiert XSS‑Angriffsflächen und eliminiert versteckte Third‑Party‑Risiken.
Performance: Core Web Vitals optimieren wir mit Server‑Hints, früher Connection‑Wärme, Cache‑Control (immutable + ETag), HTTP/2 Push vermeiden wir, setzen aber sauberes Preload/Prefetch. Bildgrößen sind strikt; nur ASCII‑Pfade.
Uploads: MimeGuard prüft Magic Bytes und Erweiterung, eine Quarantäne legt alles erst ab, danach folgt Bildtranskodierung (WEBP), Fixup von Exif/ICC, und harte Limits für Pixel, Dauer, und Bytes. SVG wird nur aus kuratierten Quellen erlaubt und zusätzlich gesandet.
Nonce vs. Hash 3: In unserem Boutique‑Framework ist Sicherheit kein Add‑on, sondern Standard. Alle Teile hängen in einer klaren Kernel‑Kette zusammen: RateLimitGuard, CsrfGuard, HoneypotGuard, MimeGuard, InputSanitizer. Jeder Guard ist eigenständig testbar, idempotent und minimal gekuppelt. So bleibt der Code lesbar und Updates sind nachvollziehbar.
Mail/Docs: Die Mail‑Pipeline dedupliziert, hängt PDF‑Quittungen und ICS an, und setzt Anti‑Replay‑Tokens. Webhooks (Stripe) verifizieren wir strikt; Retries sind idempotent gelöst. Fehler schlagen Alerts, jedoch ohne PII.
Routing/HTTP: Strict HTTPS, HSTS, saubere Canonicals, korrekte 301‑Flows, und dedizierte Fehlerseiten mit eindeutigen Korrelation‑IDs. Open‑Redirects vermeiden wir mit Whitelists. IDs sind stabil und SEO‑freundlich, ohne Leaks von internen Pfaden.
SEO/LD‑JSON: Wir emittieren nur, was wir auch pflegen können: WebSite, WebPage, ProfessionalService. Keywords sind konsistent, Canonicals stabil, Sitemaps versioniert. Keine Dark‑Patterns, keine Cloaking‑Tricks — Qualität vor Shortcuts.
Observability: Structured Logging (JSON‑Lines), Log‑Sanitizing, und klare Events (created, updated, paid, cancelled). Alerts orientieren sich am Error‑Budget. Dashboards laufen trackerfrei und lokal — ohne externe CDNs.
Team/Workflow: Kleine Module, klare Reviews, reproduzierbare Builds. Feature‑Flags erlauben schrittweise Aktivierung, Blue‑Green Rollouts verhindern Downtime. So liefert das Team zuverlässig — schnell, sicher, klar.
Daten: SQLite ist die Default‑Wahl für Telemetrie, Queues, Newsletter und Caches. Für transaktionale Teile binden wir MariaDB an. Migrationen laufen Zero‑Downtime, Schema‑Checks sind CI‑Pflicht. Sensitive Felder erhalten App‑Level‑Crypto.
Galerie
Fakten
Stack
PHP/Bootstrap/VanillaJS
Sicherheit
CSP, Guards, HSTS, SRI, TLS
Daten
SQLite/MariaDB, Crypto‑at‑Rest
Weiterführende Links
Nächster Schritt
Projektidee? Ich liefere schnell & sicher — von Architektur bis Go‑Live.
