---
title: "Konfiguration"
manual: "HTTP Guard"
version: "0.1.4"
permalink: "https://docs.typo3.org/permalink/netresearch/nr-http-guard:configuration@0.1.4"
source: "Configuration/Index.rst"
rendered: "2026-10-18T14:31:43+00:00"
---

# Konfiguration {#configuration}

Die Policy liegt ausschließlich unter
`$GLOBALS['TYPO3_CONF_VARS']['EXTCONF']['nr_http_guard']`.
Sie wird als unveränderlicher Snapshot geladen. Änderungen an
`HTTP.allowed_hosts` oder Vaults bisherigen Hostlisten erzeugen
keine HTTP-Guard-Endpoint-Freigabe.

Die Beispiele gehören in die Projektkonfiguration, etwa
[`config/system/additional.php`](https://docs.typo3.org/m/typo3/reference-coreapi/14.3/en-us/Configuration/Typo3ConfVars/Index.html#file-project-config-system-additional-php) oder bei entsprechendem klassischem
Projektlayout in `typo3conf/AdditionalConfiguration.php`.
HTTP Guard bietet keinen Backend-Editor für Sicherheitsfreigaben.

## Internes Endpoint-Beispiel {#configuration-example}

Der Beispielhost und seine Adresse sind durch die konkret genehmigte
Produktionsintegration zu ersetzen. Das Profil wirkt nur für einen Client,
den die vertrauenswürdige Serviceverdrahtung an `erp-orders` bindet.

**Projektkonfiguration für einen gebundenen ERP-Client**

```php
<?php

declare (strict_types=1);
// Replace this synthetic endpoint with the approved production origin and address.
$GLOBALS['TYPO3_CONF_VARS']['EXTCONF']['nr_http_guard'] = [
    'schemaVersion' => 1,
    'mode' => 'enforce',
    'resolver' => ['staticHosts' => ['erp.internal.example' => ['10.23.4.12']]],
    'tls' => ['requireVerification' => true],
    'endpoints' => [
        'erp-orders' => [
            'origin' => 'https://erp.internal.example:8443',
            'allowedCidrs' => ['10.23.4.12/32'],
            'methods' => ['GET', 'POST'],
            'redirects' => 'none',
            'allowLoopback' => false,
            'purpose' => 'Bestellabgleich mit dem internen ERP',
            'owner' => 'ERP-Team',
            'reviewAfter' => '2027-01-15',
            'expiresAt' => '2027-04-01T00:00:00Z',
        ],
    ],
];

```

Die statische Auflösung ist optional. Ohne sie erfolgt die kontrollierte
DNS-Auflösung. Alle gefundenen IP-Adressen müssen zum erlaubten Netz passen.
Ein gültiger öffentlicher Kandidat neben einem verbotenen privaten Kandidaten
macht die Antwort nicht zulässig.

## Schema und Validierung {#configuration-schema}

Unbekannte Felder, falsche Typen, ungültige Origins und ungültige CIDRs führen
zu `configuration_invalid`. Zeichenketten wie `"5"` oder
`"true"` ersetzen keine Integer oder Boolean. `CONNECT`
ist als Endpoint-Methode verboten. Profil-IDs bestehen aus höchstens 64
ASCII-Zeichen; erlaubt sind Buchstaben, Ziffern, Punkt, Unterstrich und
Bindestrich, beginnend mit Buchstabe oder Ziffer.

Die normalisierte Policy und der SHA-256-Hash der mitgelieferten Adressregeln
bestimmen die Revision. Gleichwertige Schreibweisen werden normalisiert.
Eine geänderte Regeldatei erzeugt eine andere Revision. Zur Verwendung neuer
Revisionen müssen Registry, Engine und Clients neu erzeugt werden; daraus
folgt keine automatische Widerrufsfunktion für alte Worker.

-   [Allgemeine Optionen](https://docs.typo3.org/permalink/netresearch/nr-http-guard:allgemeine-optionen@0.1.4)
-   [Endpoint-Profile](https://docs.typo3.org/permalink/netresearch/nr-http-guard:endpoint-profile@0.1.4)