Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Änderung des HTTP-Headers für Ihren Application Load Balancer
<a name="header-modification"></a>

Die Änderung des HTTP-Headers wird von Application Load Balancers sowohl für Anforderungs- als auch für Antwortheader unterstützt. Ohne Ihren Anwendungscode aktualisieren zu müssen, ermöglicht Ihnen die Änderung des Headers mehr Kontrolle über den Datenverkehr und die Sicherheit Ihrer Anwendung.

Informationen zum Aktivieren der Header-Änderung finden Sie unter[Aktivieren Sie die Header-Änderung](enable-header-modification.md).

## Benennen Sie die mTLS/TLS Kopfzeilen um
<a name="rename-header"></a>

Mit der Funktion zum Umbenennen von Headern können Sie die Namen der mTLS- und TLS-Header konfigurieren, die der Application Load Balancer generiert und zu Anfragen hinzufügt.

Durch diese Möglichkeit, HTTP-Header zu ändern, kann Ihr Application Load Balancer problemlos Anwendungen unterstützen, die speziell formatierte Anforderungs- und Antwortheader verwenden.


| Header | Description | 
| --- | --- | 
| X-Amzn-Mtls-Clientcert-Serial-Number | Stellt sicher, dass das Ziel das spezifische Zertifikat identifizieren und verifizieren kann, das vom Client während des TLS-Handshakes vorgelegt wurde. | 
| X-Amzn-Mtls-Clientcert-Issuer | Hilft dem Ziel, das Client-Zertifikat zu validieren und zu authentifizieren, indem es die Zertifizierungsstelle identifiziert, die das Zertifikat ausgestellt hat. | 
| X-Amzn-Mtls-Clientcert-Subject | Stellt dem Ziel detaillierte Informationen über die Entität zur Verfügung, für die das Client-Zertifikat ausgestellt wurde. Dies hilft bei der Identifizierung, Authentifizierung, Autorisierung und Protokollierung während der mTLS-Authentifizierung. | 
| X-Amzn-Mtls-Clientcert-Validity | Ermöglicht dem Ziel, zu überprüfen, ob das verwendete Client-Zertifikat innerhalb des definierten Gültigkeitszeitraums liegt, um sicherzustellen, dass das Zertifikat nicht abgelaufen ist oder vorzeitig verwendet wird. | 
| X-Amzn-Mtls-Clientcert-Leaf | Stellt das im mTLS-Handshake verwendete Client-Zertifikat bereit, sodass der Server den Client authentifizieren und die Zertifikatskette validieren kann. Dadurch wird sichergestellt, dass die Verbindung sicher und autorisiert ist. | 
| X-Amzn-Mtls-Clientcert | Enthält das vollständige Client-Zertifikat. Ermöglicht es dem Ziel, die Echtheit des Zertifikats zu überprüfen, die Zertifikatskette zu validieren und den Client während des mTLS-Handshake-Prozesses zu authentifizieren. | 
| X-Amzn-TLS-Version | Gibt die Version des TLS-Protokolls an, das für eine Verbindung verwendet wird. Es erleichtert die Bestimmung der Sicherheitsstufe der Kommunikation, die Behebung von Verbindungsproblemen und die Sicherstellung der Konformität. | 
| X-Amzn-TLS-Cipher-Suite | Gibt die Kombination kryptografischer Algorithmen an, die zur Sicherung einer Verbindung in TLS verwendet werden. Auf diese Weise kann der Server die Sicherheit der Verbindung beurteilen, was bei der Behebung von Kompatibilitätsproblemen hilft und die Einhaltung der Sicherheitsrichtlinien gewährleistet. | 

## Fügen Sie Antwort-Header hinzu
<a name="insert-header"></a>

Mithilfe von Insert-Headern können Sie Ihren Application Load Balancer so konfigurieren, dass sicherheitsrelevante Header zu Antworten hinzugefügt werden. Mit diesen Attributen können Sie Header wie HSTS, CORS und CSP einfügen.

Standardmäßig sind diese Header leer. In diesem Fall ändert der Application Load Balancer diesen Antwortheader nicht.

Wenn Sie einen Antwortheader aktivieren, fügt der Application Load Balancer allen Antworten den Header mit dem konfigurierten Wert hinzu. Wenn die Antwort vom Ziel den HTTP-Antwort-Header enthält, aktualisiert der Load Balancer den Header-Wert auf den konfigurierten Wert. Andernfalls fügt der Load Balancer der Antwort mit dem konfigurierten Wert den HTTP-Antwort-Header hinzu.


| Header | Description | 
| --- | --- | 
| Strict-Transport-Security | Erzwingt HTTPS-only Verbindungen durch den Browser für eine bestimmte Dauer und schützt so vor Man-in-the-Middle-Angriffen, Protokollherabstufungen und Benutzerfehlern. So wird sichergestellt, dass die gesamte Kommunikation zwischen dem Client und dem Ziel verschlüsselt ist. | 
| Access-Control-Allow-Origin | Steuert, ob auf Ressourcen auf einem Ziel von verschiedenen Quellen aus zugegriffen werden kann. Dies ermöglicht sichere ursprungsübergreifende Interaktionen und verhindert gleichzeitig unbefugten Zugriff. | 
| Access-Control-Allow-Methods | Gibt die HTTP-Methoden an, die zulässig sind, wenn ursprungsübergreifende Anfragen an das Ziel gestellt werden. Es bietet die Kontrolle darüber, welche Aktionen von verschiedenen Ursprüngen aus ausgeführt werden können. | 
| Access-Control-Allow-Headers | Gibt an, welche benutzerdefinierten oder nicht einfachen Header in eine ursprungsübergreifende Anfrage aufgenommen werden können. Dieser Header gibt Zielen die Kontrolle darüber, welche Header von Clients verschiedener Herkunft gesendet werden können. | 
| Access-Control-Allow-Credentials | Gibt an, ob der Client Anmeldeinformationen wie Cookies, HTTP-Authentifizierung oder Client-Zertifikate in ursprungsübergreifende Anfragen einbeziehen soll. | 
| Access-Control-Expose-Headers | Ermöglicht dem Ziel, anzugeben, auf welche zusätzlichen Antwortheader der Client bei ursprungsübergreifenden Anfragen zugreifen kann. | 
| Access-Control-Max-Age | Definiert, wie lange der Browser das Ergebnis einer Preflight-Anfrage zwischenspeichern kann, wodurch die Notwendigkeit wiederholter Preflight-Überprüfungen reduziert wird. Dies hilft, die Leistung zu optimieren, indem die Anzahl der OPTIONS-Anfragen reduziert wird, die für bestimmte ursprungsübergreifende Anfragen erforderlich sind. | 
| Content-Security-Policy | Sicherheitsfunktion, die Code-Injection-Angriffe wie XSS verhindert, indem sie steuert, welche Ressourcen wie Skripte, Stile, Bilder usw. von einer Website geladen und ausgeführt werden können. | 
| X-Content-Type-Options | Verbessert mit der No-Sniff-Direktive die Websicherheit, indem verhindert wird, dass Browser den MIME-Typ einer Ressource erraten. Sie stellt sicher, dass Browser Inhalte nur gemäß den deklarierten Daten interpretieren Content-Type | 
| X-Frame-Options | Header-Sicherheitsmechanismus, der Clickjacking-Angriffe verhindert, indem er steuert, ob eine Webseite in Frames eingebettet werden kann. Werte wie DENY und SAMEORIGIN können sicherstellen, dass Inhalte nicht in bösartige oder nicht vertrauenswürdige Websites eingebettet werden. | 

## Header deaktivieren
<a name="disable-header"></a>

Mithilfe von Deaktivierungsheadern können Sie Ihren Application Load Balancer so konfigurieren, dass der `server:awselb/2.0` Header in den Antworten deaktiviert wird. Dies reduziert die Offenlegung serverspezifischer Informationen und bietet gleichzeitig eine zusätzliche Schutzebene für Ihre Anwendung.

Der Attributname ist`routing.http.response.server.enabled`. Die verfügbaren Werte sind `true` oder`false`. Der Standardwert ist `true`.

## Einschränkungen
<a name="header-modification-limits"></a>
+ Header-Werte können die folgenden Zeichen enthalten
  + Alphanumerische Zeichen: `a-z``A-Z`, und `0-9`
  + Sonderzeichen: `_ :;.,\/'?!(){}[]@<>=-+*#&`|~^%`
+ Der Wert für das Attribut darf eine Größe von 1.000 Byte nicht überschreiten.
+ Elastic Load Balancing führt grundlegende Eingabevalidierungen durch, um zu überprüfen, ob der Header-Wert gültig ist. Die Validierung kann jedoch nicht bestätigen, ob der Wert für einen bestimmten Header unterstützt wird.
+ Wenn Sie für ein Attribut einen leeren Wert setzen, kehrt der Application Load Balancer zum Standardverhalten zurück.