Security-Header prüfen — kostenloser HTTP-Header-Check

–

ERGEBNIS

Ihre Gesundheitsnote

🔔 Domain überwachen — kostenlos

Wir überwachen rund um die Uhr und mailen Ihnen sofort, wenn sie ausfällt, zurückkommt oder ein Zertifikat bald abläuft. Keine Karte, kein Formular — nur E-Mail bestätigen.

Kostenloses ABR-Konto erstellen und mir einen Anmeldelink mailen. Datenschutz

Was Security-Header bewirken

Security-Header sind Anweisungen an den Browser, die eingebaute Schutzmechanismen aktivieren: Content-Security-Policy begrenzt, was ausgeführt wird, HSTS erzwingt HTTPS, X-Content-Type-Options stoppt MIME-Sniffing und mehr. Sie sind kostenlos und schließen ganze Angriffsklassen — fehlen aber auf den meisten Websites.

So sehen gute Header aus

Eine sinnvolle Content-Security-Policy (nicht nur default-src *).
Strict-Transport-Security (HSTS) mit langem max-age.
X-Content-Type-Options: nosniff und eine sinnvolle Referrer-Policy.
Framing via CSP frame-ancestors (oder X-Frame-Options) gesperrt.

So ergänzen Sie fehlende Header

Am Webserver, CDN oder Framework setzen — meist deckt ein Config-Block alles ab.
CSP zuerst im Report-Only-Modus, dann erzwingen, sobald sie sauber ist.
HSTS erst aktivieren, wenn Sie vollständig auf HTTPS sind (es ist bindend).
Nach dem Deploy hier erneut prüfen.

Häufige Fragen

Ist der Security-Header-Check kostenlos?

Ja — kostenlos mit kurzem CAPTCHA, ohne Konto. Es wird nur Ihre öffentliche HTTP-Antwort gelesen.

Welcher Header ist am wichtigsten?

CSP ist der größte Hebel gegen XSS, aber HSTS und nosniff sind schnelle Gewinne. Der Check benotet jeden einzelnen.

Kann das Hinzufügen meine Website zerstören?

CSP kann das bei zu strengen Regeln — daher zuerst Report-Only. Die anderen sind sicher.