Jeder Sicherheits-Header erhält „Bestanden“, „Warnung“ oder „Fehlgeschlagen“, mit der genauen Zeile zum Hinzufügen. Prüfe die Header, die deine Website sendet, oder füge vorhandene Header ein und sieh, wie gut deine Website geschützt ist. Kostenlos und ohne Konto.
So prüfst du deine Header
- Gib im Tab „URL prüfen“ deine Website unter „Webadresse“ ein und drück „Header prüfen“.
- Oder öffne den Tab „Header einfügen“, füge die Response-Header ein und drück „Diese Header bewerten“.
- Lies die Note und geh dann jede Zeile durch. Zu jedem Problem gibt es die passende Zeile zum Ergänzen.
Was gesendet wird
Browser können die Header fremder Websites nicht lesen, daher wird bei „URL prüfen“ die eingegebene Adresse vom Server von Snowkit abgerufen. Er folgt bis zu 5 Weiterleitungen, gibt nach 8 Sekunden auf, lehnt private und lokale Netzwerkadressen ab und speichert nicht, was du prüfst. Eingefügte Header werden in deinem Browser bewertet und nirgendwohin gesendet.
Die wichtigsten Header
Strict-Transport-Security sorgt dafür, dass Browser deine Website immer über HTTPS aufrufen. Content-Security-Policy legt fest, woher Skripte, Stile und Frames stammen dürfen, sodass eingeschleuster Code kaum ausgeführt wird. X-Frame-Options oder CSP frame-ancestors verhindert, dass andere Seiten deine in einem versteckten Frame laden. X-Content-Type-Options: nosniff verhindert, dass Browser Dateitypen erraten, und Referrer-Policy und Permissions-Policy begrenzen, was an andere Seiten durchsickert und welche Browserfunktionen Seiten nutzen dürfen.
Wie die Note zustande kommt
Jede Prüfung beginnt als bestanden. HTTPS, HSTS und CSP zählen am meisten; Frame-Schutz, nosniff und Cookie-Flags zählen danach; Referrer- und Permissions-Policy sowie Versionsnummern in Headern zählen am wenigsten. Eine Warnung kostet halb so viel wie ein Fehler. Die Note ist eine schnelle Zusammenfassung, lies also jede Zeile: Eine strikte CSP mit kurzer HSTS-Dauer kann trotzdem eine sehr gut geschützte Website sein.
Wo du Header setzt
Bei Cloudflare Pages und Netlify trägst du sie in eine _headers-Datei ein. Bei Vercel nutzt du den Abschnitt „headers“ in vercel.json. Bei nginx nimmst du add_header, bei Apache Header always set, und in Node-Frameworks genügt eine kleine Middleware. Setze sie bei jeder HTML-Antwort, nicht nur auf der Startseite.
Tipps
- Füge die Header einzeln hinzu und teste deine Website nach jedem, denn eine strikte Content-Security-Policy kann Dinge blockieren, die vorher funktioniert haben.
- Beginne mit den einfachen Erfolgen: nosniff, eine Referrer-Policy und Frame-Schutz.
- Prüfe erneut, nachdem du dein Hosting gewechselt oder einen neuen Dienst hinzugefügt hast.
- Wirf mit dem DNS-Abruf auch einen Blick auf DNS und E-Mail-Einrichtung.
Für wen
Website-Betreiber und Kleinunternehmer, Freiberufler, die eine Website übergeben, und Entwickler, die vor dem Start die Sicherheit prüfen. Um eine Anfrage in Code umzuwandeln, siehe den curl-Konverter.
Fragen
Heißt eine gute Note, dass meine Website sicher ist?
Nein. Header sind eine Schutzebene. Sie ersetzen keine Updates, starken Passwörter oder sorgfältigen Code.
Warum kann ich keine lokale Adresse prüfen?
Private und lokale Netzwerkadressen werden abgelehnt. Füg stattdessen die Header ein, um sie in deinem Browser bewerten zu lassen.
Wird meine Website-Adresse gespeichert?
Nein. Was du prüfst, wird nicht gespeichert.