Ein CDN speichert eine Kontoantwort wegen einer zu weit gefassten öffentlichen Cache-Regel, während eine statische Schrift bei jedem Besuch neu validiert wird. Beide Probleme betreffen Cache-Control– aber derselbe Header für alle URLs würde eines davon verschlimmern.
Cache-Regeln müssen zur Antwortklasse passen. Die bekannten Direktiven unterscheiden sich stärker, als ihre Namen vermuten lassen.
Was darunter zu verstehen ist
Cache-Controllegt fest, ob und wie Browser oder gemeinsame Caches eine Antwort speichern und wiederverwenden dürfen. max-agebestimmt die Frische, s-maxagekann gemeinsame Caches ansprechen, und privateschließt diese von der Wiederverwendung aus.
no-cacheerlaubt Speicherung, verlangt aber vor der Wiederverwendung eine Validierung. no-storeweist Caches an, die Antwort nicht zu speichern. Die Begriffe sind nicht austauschbar.
Praxisbeispiel
Ein Download mit versionierter URL darf lange öffentlich frisch bleiben. Die Kontoseite enthält dagegen persönliche Daten und benötigt eine private beziehungsweise nicht speicherbare Regel. Ein globales public, max-age=31536000wäre für die Datei sinnvoll, für das Konto jedoch gefährlich.
Die Header werden daher pro Antwortklasse gesetzt und an der öffentlichen URL kontrolliert.
Warum die Unterscheidung wichtig ist
Falsche Header können private Inhalte teilen oder Besucher über lange Zeit auf veralteten Dateien halten. Zu konservative Regeln verschenken wiederum Leistung bei wirklich unveränderlichen Ressourcen.
Die richtige Balance entsteht nicht durch ein allgemeines Snippet, sondern durch klare Klassen für HTML, API-Daten, Downloads, versionierte Assets, Fehler und Weiterleitungen.
Ein einfacher und sicherer Einstieg
- Klassifizieren Sie öffentliche und angemeldete Seiten, API-Antworten, Downloads und statische Dateien.
- Erfassen Sie die endgültigen Header einschließlich
Vary, Cookies,Ageund CDN-Status. - Setzen Sie zunächst vorsichtige Regeln für persönliche Inhalte.
- Geben Sie versionierten Dateien längere Laufzeiten.
- Testen Sie Anmeldung, Abmeldung, Inhaltsänderung und bedingte Anfragen.
Technische Prüfung
Ermitteln Sie, welche Ebene den Header schreibt oder überschreibt. Webserver, WordPress, Proxy und CDN können mehrere Felder zusammenführen. Prüfen Sie auch, ob Varyund der Cache-Schlüssel Sprache, Kodierung, Cookies oder Autorisierung korrekt berücksichtigen.
Bewahren Sie für jeden Test je eine Rohantwort vom Ursprung und vom öffentlichen Edge-Endpunkt auf. Dieser Vergleich zeigt, ob WordPress die falsche Regel erzeugt oder ein Vermittler sie verändert.
Risiken, häufige Fehler, Backup und Rollback
publicmacht persönliche Daten nicht sicher, und privateentfernt keine bereits falsch gespeicherten Kopien. Nach einer Sicherheitskorrektur müssen betroffene gemeinsame Einträge deshalb gezielt gelöscht werden.
- Vermeiden Sie doppelte oder widersprüchliche Direktiven.
- Setzen Sie keine websiteweite Regel wegen einer einzelnen Asset-Klasse.
- Halten Sie die vorherige Header-Konfiguration für den Rollback fest.
So unterstützt AIOWS:
AIOWS Cache Manager
AIOWS Cache Manager kann WordPress-seitige Cache-Einstellungen und Antwortklassen übersichtlich zusammenführen. Das hilft, Regeln bewusst statt über verstreute Snippets zu verwalten.
Die öffentliche Antwort kann anschließend trotzdem von Webserver, Hosting-Proxy oder CDN verändert werden. AIOWS kontrolliert diese nachgelagerten Ebenen nicht. Vergleichen Sie daher Ursprung und Besucher-URL und achten Sie auf mehrfach gesetzte Felder.
Führen Sie neue Header zunächst für eine klar begrenzte Klasse ein. Wenn Aktualität oder Sitzungstrennung nicht stimmt, setzen Sie die betreffende Einstellung zurück und löschen nur die möglicherweise falsch gespeicherten Antworten. So bleibt die Ursache erkennbar und ein Sicherheitsproblem wird nicht durch weitere globale Regeln verdeckt.
Passende AIOWS-Artikel
- Wie WordPress-Caching funktioniert: Seite, Browser, Objekt und CDN
- Browser-Caching für WordPress konfigurieren
- Wann sollte man den WordPress-Cache leeren?
Fazit und Empfehlung
Formulieren Sie Cache-Controlpro Antwortklasse. Unterscheiden Sie Validierung von Speicherverbot, prüfen Sie die endgültigen Header über alle Vermittler und schützen Sie private Inhalte konsequent. Eine globale Regel ist selten die richtige Lösung.
