CloudFront meldet dem Origin jetzt Provider des Nutzers und PQC-Status von TLS

Serguey Asael Shinder02 November 2026, 08:401 Min. Lesezeit

Amazon CloudFront kann zwei neue optionale Header an einen Origin weiterleiten, wie AWS am 30. Oktober mitteilte. CloudFront-Viewer-ISP enthält den Namen des Internetanbieters des Nutzers, sodass der Origin sieht, aus welchem Netz eine Anfrage stammt. CloudFront-Viewer-TLS-Details beschreibt die Kryptografie jeder TLS-Verbindung: Schlüsselaustausch, Signaturverfahren und Typ des öffentlichen Signaturschlüssels.

Den ersten Header stellt AWS als Werkzeug dar, um Traffic und Performance nach Netz aufzuschlüsseln und ungewöhnlichen Traffic eines einzelnen Anbieters abzugrenzen. Der zweite zielt auf die Post-Quanten-Migration: Betreiber können messen, welcher Anteil der Nutzer tatsächlich mit Post-Quanten-Kryptografie verbindet, und die Clients erkennen, die das noch nicht tun.

Standardmäßig wird keiner der Header gesendet. Um einen weiterzuleiten, muss er in eine Origin Request Policy aufgenommen und diese der Distribution zugeordnet werden.

Was das bedeutet

Post-Quanten-Schlüsselaustausch am Edge war bisher meist etwas, das ein CDN einschaltet und, wenn überhaupt, als Gesamtwert meldet. Ein Header pro Anfrage bringt die Daten dorthin, wo die Anwendung sie nutzen kann: in die Origin-Logs, neben User-Agent und Route. So sieht ein Team, welche Clients und welche Teile seines Traffics noch klassischen Schlüsselaustausch nutzen, bevor es über ältere Verfahren entscheidet. Ein praktischer Hinweis: Zusätzliche Header in einer Origin Request Policy ändern, was bei jeder Anfrage am Origin ankommt; vor dem Ausrollen lohnt der Blick, ob dieselbe Policy auch in den Cache-Schlüssel eingeht.