HTTP-Security-Header-Prüfung

Enter a domain or website URL to analyse.

Der Prüfer für HTTP-Sicherheitsheader ruft die Startseite einer Domain ab und zeigt, welche Schutz-Header der Server tatsächlich ausliefert. Fehlen sie, erlaubt der Browser weiterhin das Einbetten in fremde Seiten, das Erraten von Dateitypen oder den Rückfall auf eine unverschlüsselte Verbindung.

Was geprüft wird

Sechs Header werden aus der echten Antwort des Servers gelesen und jeweils mit ihrem Wert angezeigt. So lässt sich nicht nur das Vorhandensein, sondern auch die Konfiguration beurteilen. Der Abruf erfolgt zuerst über HTTPS, notfalls über HTTP.

Strict-Transport-Security: erzwingt verschlüsselte Verbindungen
Content-Security-Policy: begrenzt, welche Skripte und Ressourcen geladen werden dürfen
X-Frame-Options und Referrer-Policy: Einbettung in fremde Seiten und Weitergabe der Herkunft
X-Content-Type-Options und Permissions-Policy: Dateityp-Erkennung und Zugriff auf Browserfunktionen
Gemischte Inhalte: Dateien, die auf einer HTTPS-Seite noch über http:// eingebunden sind

Die Punktzahl ist ein Einstieg, keine Note: Eine Content-Security-Policy, die alles erlaubt, gilt als vorhanden, schützt aber kaum. Vergleichen Sie die angezeigten Werte mit dem Bedarf Ihrer Seite, passen Sie sie in der Server- oder CDN-Konfiguration an und prüfen Sie erneut.

Häufige Fragen

Was prüft der Security Headers Checker?

Er ruft die Startseite einer Domain ab und zeigt, welche schützenden HTTP-Antwort-Header der Server sendet, darunter HSTS, Content-Security-Policy, X-Frame-Options und Referrer-Policy. Zusätzlich listet er Ressourcen auf, die noch über unverschlüsseltes HTTP geladen werden.

Warum sind Security-Header wichtig?

Fehlende Header sind der Grund, warum Browser Clickjacking, MIME-Sniffing oder ein Downgrade auf eine unverschlüsselte Verbindung zulassen — auch auf Seiten, die sonst gesund wirken. Korrekte Header erzwingen HTTPS, beschränken das Einbetten in Frames und kontrollieren abfließende Daten.

Ist der Security Headers Checker kostenlos und brauche ich ein Konto?

Ja, die Prüfung ist komplett kostenlos und eine Registrierung ist nicht nötig. Geben Sie eine Domain ein und starten Sie den Scan so oft Sie möchten, für eigene Seiten oder zum Vergleich mit beliebigen öffentlichen Websites.

Verändert die Prüfung etwas an meiner Website?

Nein, das Tool arbeitet rein lesend. Es sendet eine normale Anfrage an Ihre Seite, wie jeder Browser, und analysiert die empfangenen Antwort-Header. Auf Ihrem Server wird nichts installiert, verändert oder gespeichert.

Was geprüft wird

Strict-Transport-Security: erzwingt verschlüsselte Verbindungen
Content-Security-Policy: begrenzt, welche Skripte und Ressourcen geladen werden dürfen
X-Frame-Options und Referrer-Policy: Einbettung in fremde Seiten und Weitergabe der Herkunft
X-Content-Type-Options und Permissions-Policy: Dateityp-Erkennung und Zugriff auf Browserfunktionen
Gemischte Inhalte: Dateien, die auf einer HTTPS-Seite noch über http:// eingebunden sind