Security Headers Checker

Was dieser Security-Headers-Checker prüft

Ein Security Headers Checker fängt die einfachsten Exploits, die Seiten am häufigsten übersehen. Kein HSTS? Nutzer können auf HTTP heruntergestuft werden. Kein CSP? Offen für XSS. Keine X-Frame-Options? Deine Seiten können in Phishing-Iframes eingebettet werden.

Dieser HSTS-Checker und CSP-Checker sendet einen HEAD-Request und prüft 10 Security-Header, jeweils gewichtet nach realer Auswirkung. CSP und HSTS zählen am meisten, weil sie die häufigsten Angriffsvektoren blockieren. Dazu bekommst du Server-Infos und einen 0-100 Sicherheits-Score mit konkreten Fix-Empfehlungen für jeden fehlenden Header.

Was sind Security Headers und warum sind sie wichtig?

Security Headers sind HTTP-Response-Header, die dem Browser sagen, wie er den Inhalt deiner Seite sicher behandeln soll. Sie erzwingen HTTPS, blockieren Cross-Origin-Framing, kontrollieren Script-Quellen und setzen eine Referrer-Policy. Im Gegensatz zu den meisten SEO-Problemen machen fehlende Security Headers deine Seite nicht langsamer und schaden den Rankings nicht direkt. Sie schaden dem Nutzervertrauen und deinen Audit-Scores bei jedem Security-Scanner.

Häufige Security-Header-Fehler

Dieselben Lücken tauchen auf den meisten Sites auf, die ich auditiere. HSTS ohne langen max-age oder ohne includeSubDomains gesetzt, was den Schutz größtenteils aushebelt. Eine CSP, die 'unsafe-inline' für Skripte erlaubt, was den Sinn einer CSP komplett zerstört. X-Content-Type-Options komplett fehlt, wodurch MIME-Sniffing offen bleibt. Und am häufigsten: gar keine Content-Security-Policy, weil sie einmal die Seite zerstört hat und niemand sich nochmal an die Konfiguration getraut hat.

OWASP-Empfehlungen für HTTP Security Headers

OWASP ist die autoritative Quelle für HTTP-Security-Header-Richtlinien. Das OWASP Secure Headers Project pflegt eine Referenzliste mit empfohlenen Werten für jeden Header. Die Top 5, die fast jede Site setzen sollte: Strict-Transport-Security mit einem max-age von mindestens einem Jahr, Content-Security-Policy mit einer strikten Source-Whitelist, X-Content-Type-Options: nosniff, X-Frame-Options: DENY oder SAMEORIGIN, und Referrer-Policy: strict-origin-when-cross-origin. Setzt du diese fünf korrekt, deckst du den Großteil dessen ab, was OWASP tatsächlich verlangt. Der Rest ist optionales Feintuning.

Weitere Tools entdecken

FAQ