Sicherheits-Header-Check
Bewerten Sie die HTTP-Sicherheits-Header jeder Website von A+ bis F, mit Erklärung, was jeder Header bewirkt und was Sie ändern sollten.
Was dieses Tool prüft
DNSPeek lädt Ihre Domain über https:// (oder http://, wenn über HTTPS nichts antwortet), folgt ihren Weiterleitungen wie ein Browser und liest die Antwort-Header der Zielseite. Hinter einem CDN wie Cloudflare sind das die Header, die dessen Edge sendet. Geprüft werden Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy; außerdem vermerkt das Tool Server- oder X-Powered-By-Header, die Softwareversionen verraten.
Wovor die Header schützen
HSTS hält Browser auf HTTPS, sodass niemand die Verbindung herabstufen kann. Eine CSP begrenzt, woher Skripte geladen werden dürfen, und ist der wichtigste Schutz gegen Cross-Site-Scripting. X-Frame-Options verhindert, dass andere Websites Ihre per Frame für Clickjacking einbinden. nosniff verhindert, dass Browser eine Datei als anderen Typ ausführen als angegeben. Referrer-Policy begrenzt, welche URLs an andere Websites gelangen, und Permissions-Policy schaltet Browserfunktionen ab, die Sie nicht nutzen.
Nach einem Website-Umzug
Header werden vom Webserver oder CMS gesetzt und ändern sich daher oft, wenn eine Website umzieht. Vergleichen Sie die Note vor und nach der Umstellung. Was Vorschauen ändern und warum, steht auf der Seite zu den Grenzen der Vorschau.
Häufige Fragen
Wie wird die Note berechnet?
Sechs Header bringen Punkte: Strict-Transport-Security 25, Content-Security-Policy 25, X-Frame-Options (oder CSP frame-ancestors) 15, X-Content-Type-Options 15, Referrer-Policy 10 und Permissions-Policy 10. Ein schwacher Wert bringt die Hälfte. 95 oder mehr ergibt A+, wenn keine Softwareversionen offengelegt werden, 85 ergibt A, 70 B, 55 C, 40 D, alles darunter F. Eine Seite, die nicht normal lädt (Weiterleitungsschleife, Verbindungsfehler, Fehlerseite oder Bot-Schutz-Challenge), wird nicht bewertet: Das Tool zeigt stattdessen den Grund.
Welchen Header sollte ich zuerst hinzufügen?
Strict-Transport-Security und X-Content-Type-Options: nosniff sind jeweils eine Zeile und auf fast jeder Website unbedenklich. Eine Content-Security-Policy schützt am meisten, muss aber getestet werden: Beginnen Sie mit Content-Security-Policy-Report-Only und verschärfen Sie sie, sobald keine Verstöße mehr gemeldet werden.
Warum ist meine Note niedriger als bei einem anderen Scanner?
Scanner gewichten Header unterschiedlich, und manche prüfen mehr davon. Dieses Tool prüft die Header der Seite, auf der Ihre Domain nach den Weiterleitungen schließlich landet, so wie ein Besucher sie sieht.
Behalten DNSPeek-Vorschau-Links meine Sicherheits-Header?
Nein. Damit Seiten unter der Vorschau-Adresse funktionieren, entfernt DNSPeek in Vorschauen Strict-Transport-Security, Content-Security-Policy und X-Frame-Options. Prüfen Sie Ihre Header nach der DNS-Umstellung auf der echten Domain mit diesem Tool.
Ziehen Sie eine Website auf einen neuen Server um?
Sehen Sie die Website auf dem neuen Server, bevor Sie DNS ändern: DNSPeek erstellt einen HTTPS-Vorschau-Link, der auf jedem Gerät funktioniert und den Sie mit Ihrem Team oder Kunden teilen können. Keine hosts-Datei, kein VPN.
Kostenlosen Vorschau-Link erstellen