Nick Szaunig
7bd2a3dc3a
apicore.encry.de lieferte bisher gar keine Security-Header aus (per curl bestaetigt) - CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, HSTS fehlten komplett, waehrend das Backend das laengst per helmet() macht. Ergaenzt fuer alle Routen. Bewusst ohne CSP-Nonce (haette dynamic rendering fuer jede Seite erzwungen und damit die bestehende statische Optimierung gekostet) - stattdessen script-src/style-src 'unsafe-inline', aber default-src/connect-src/ img-src/object-src/frame-ancestors/form-action/base-uri strikt eingeschraenkt. Lokal mit dem echten Production-Build (standalone server + next.config.ts) verifiziert: Login-Seite rendert/hydratisiert sauber, keine CSP-Verstoesse in der Konsole, Header per curl bestaetigt.