Eine Kontoseite enthält persönliche Angaben. Für ihre HTTP-Auslieferung solltest du klären, welche Caches die Antwort überhaupt speichern dürfen. private schließt gemeinsam genutzte Caches aus, erlaubt für sich allein aber weiterhin Speicherung durch einen privaten Browsercache. no-store hat eine andere Aufgabe: Die Antwort soll nicht gespeichert werden.
Ein möglicher Header für einen dafür vorgesehenen persönlichen Bereich ist:
Cache-Control: private, no-store
Die konkrete Regel gehört zur Anwendung und ihrem Auslieferungsweg. Sie ersetzt weder Anmeldung noch serverseitige Berechtigungsprüfung. Bereits vorhandene Kopien werden durch einen neuen Header nicht rückwirkend überall gelöscht.
Ohne echte Kundendaten prüfen
Verwende isolierte Testkonten mit künstlichen Angaben. Untersuche die Kontoseite und die zugehörigen Datenantworten getrennt. Eine korrekt konfigurierte HTML-Seite hilft nicht, wenn ein API-Endpunkt persönliche Ergebnisse mit einer öffentlichen Cachefreigabe liefert.
Kontrolliere Header direkt hinter Proxy oder CDN, nicht nur in einer lokalen Entwicklerumgebung. Prüfe außerdem Verhalten nach Abmeldung und beim Wechsel zwischen zwei Testkonten. Beobachtete Browsernavigation und tatsächliche Serverautorisierung sind unterschiedliche Prüfpunkte.
Wenn Daten einer anderen Identität erscheinen, stoppe die weitere Verwendung des betroffenen Wegs und grenze die Ursache mit Testdaten ein. Prüfe in diesem Fall Cache-Schlüssel und serverseitige Berechtigungen. Dokumentiere getestete Endpunkte, Testidentitäten ohne Zugangsdaten und die tatsächlich beobachteten Antworten, damit die Korrektur gezielt nachvollziehbar bleibt.