Sicherheit
Security Header Check
Prüfe, ob deine Website die wichtigen HTTP-Sicherheitsheader sendet – Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Mit Note, verständlichen Erklärungen und fertigem Code zum Nachrüsten.
- Verarbeitung auf dem Server – Datenschutz
- Ohne Anmeldung
- Kostenlos
Website prüfen
Mein Server ruft die Adresse einmal ab, folgt bis zu 5 Weiterleitungen und wertet nur die HTTP-Header aus.
Die wichtigsten Sicherheitsheader
Weitere Hinweise
Content-Security-Policy im Detail
Fehlendes nachrüsten
Vorschläge mit üblichen, vorsichtigen Werten. Nach dem Einbauen die Website gründlich testen und erneut prüfen.
Weiterleitungen
Alle Header der Antwort
Anleitung
So funktioniert’s
- Adresse eingeben
Gib die Adresse deiner Website ein, z. B. example.com – geprüft wird die Startseite oder genau die Unterseite, die du angibst. Ohne Angabe wird https:// verwendet.
- Note ansehen
Die Note zählt die sechs wichtigsten Sicherheitsheader. Rot heißt: fehlt oder ist fehlerhaft, Orange: gesetzt, aber verbesserungswürdig. A+ gibt es mit allen sechs und einer strengen CSP.
- Hinweise lesen
Unter „Weitere Hinweise“ stehen Dinge ohne Einfluss auf die Note: verratene Versionsnummern, veraltete Header, Cookie-Einstellungen und die Weiterleitung von http:// auf https://.
- Nachrüsten
Rechts gibt es fertigen Code für Apache (.htaccess), nginx und PHP – nur für die Header, die fehlen. Die CSP wird bewusst erst im Testmodus vorgeschlagen, damit nichts kaputtgeht.
FAQ
Häufige Fragen
Was sind Security Header?
HTTP-Header, die dein Server mit jeder Seite mitschickt und die dem Browser sagen, wie streng er sein soll: nur per HTTPS verbinden (HSTS), nur erlaubte Skripte ausführen (CSP), die Seite nicht in fremde Frames einbetten (X-Frame-Options) und Ähnliches. Sie kosten nichts und schließen ganze Klassen von Angriffen aus.
Warum schlägt das Tool die CSP als „Report-Only“ vor?
Eine zu strenge Content-Security-Policy blockiert schnell eigene Skripte, Schriften oder eingebettete Videos. Im Modus „Report-Only“ meldet der Browser Verstöße nur in der Konsole. Wenn dort keine Meldungen mehr auftauchen, benennst du den Header in „Content-Security-Policy“ um.
Brauche ich X-Frame-Options, wenn ich frame-ancestors nutze?
Nein. Die CSP-Direktive frame-ancestors ersetzt X-Frame-Options und wird von allen aktuellen Browsern unterstützt. Beides zu setzen schadet aber nicht.
Warum ist X-XSS-Protection nicht dabei?
Der XSS-Filter, den dieser Header steuert, wurde aus allen Browsern entfernt – er konnte sogar neue Lücken öffnen. Heute schützt eine Content-Security-Policy. Der Header kann entfallen oder auf „0“ stehen.
Warum verrät mein Server seine Version?
Viele Server schicken standardmäßig Header wie „Server: Apache/2.4.58“ oder „X-Powered-By: PHP/8.3“. Das hilft Angreifern, passende Lücken zu suchen. Bei Apache lässt sich das mit „ServerTokens Prod“, bei PHP mit „expose_php = Off“ abstellen – bei Shared Hosting oft im Kundenmenü des Hosters.
Mein Ergebnis weicht von anderen Tools ab – warum?
Die Note ist eine eigene, vereinfachte Bewertung. Außerdem können Server je nach Browser, Standort oder Bot-Schutz unterschiedliche Header senden. Steht im Ergebnis „Fehlerseite“, hat der Server den Abruf abgewiesen.