Kostenlos · Serverseitiger Scan
Security Headers Checker
Fügen Sie eine URL ein. Wir rufen ihre Antwort-Header sicher ab, bewerten die aussagekräftigen Sicherheits-Header mit transparenter Punktevergabe und liefern Ihnen konservative, kopierfertige Korrekturen für Ihren Stack.
Auf einen Blick
- HSTS, CSP, Clickjacking-Schutz, Referrer-Policy, Permissions-Policy und X-Content-Type-Options bewerten.
- Genau sehen, warum jeder Header besteht, schwach oder fehlend ist — samt verständlicher Auswirkung.
- Eine Härtungs-Baseline für Nginx, Apache, Express/Next.js, Cloudflare Workers oder Netlify/Vercel kopieren.
Was das bedeutet
Header sind Leitplanken, kein vollständiges Audit
HTTP-Sicherheits-Header sagen dem Browser, wie er Ihre Seite schützen soll — HTTPS erzwingen, eingeschleuste Skripte blockieren, Clickjacking verhindern und begrenzen, welche Daten an andere Websites gelangen. Sie sind eine schnelle, aussagekräftige Grundlage, aber kein Ersatz für eine vollständige Sicherheitsüberprüfung.
Wie wird die Note berechnet?
Die Punktevergabe ist deterministisch und nachvollziehbar: CSP zählt 25 Punkte, HSTS 20, Clickjacking-Schutz 15, Referrer-Policy 15, Permissions-Policy 15 und X-Content-Type-Options 10 — insgesamt 100. Ein vorhandener und starker Header erhält die volle Punktzahl, ein schwacher die Hälfte und ein fehlender null. Die Buchstabennoten sind A+ (95+), A (85+), B (70+), C (55+), D (40+), sonst F.
Warum sind die CSP-Vorschläge so vorsichtig?
Eine schlechte Content-Security-Policy kann eine Website unbemerkt beschädigen, und eine zu weit gefasste bietet keinen Schutz. Wir schlagen eine strenge Ausgangsrichtlinie vor und empfehlen, sie zuerst als Content-Security-Policy-Report-Only auszurollen, damit Sie die Quellen erweitern können, bis nichts Legitimes mehr blockiert wird, bevor Sie sie erzwingen.
Was ist mit HSTS includeSubDomains und preload?
Sie sind wirkungsvoll, aber riskant: includeSubDomains erzwingt HTTPS auf jeder Subdomain, und preload verankert Ihre Domain fest in Browsern und ist sehr schwer rückgängig zu machen. Die Baseline setzt nur ein max-age von einem Jahr und warnt Sie, diese Flags manuell zu ergänzen, nachdem Sie bestätigt haben, dass jede Subdomain HTTPS ausliefert.
Werden geprüfte URLs gespeichert?
Nein. Der Server ruft Ihre öffentlichen Antwort-Header im Arbeitsspeicher ab, weil CORS-Regeln des Browsers direkte Prüfungen meist blockieren. Anfragen durchlaufen Schutzmechanismen für private Netzwerke, DNS, Zeitlimit, Weiterleitung und Antwortgröße, und nichts, was Sie übermitteln, wird gespeichert.