Sicherheits-Header-Check: HSTS, CSP und mehr prüfen
HSTS, CSP, X-Frame-Options und weitere Sicherheits-Header Ihrer Seite im Überblick.
Wofür Sicherheits-Header gut sind
Sicherheits-Header sind Anweisungen, die Ihr Server jeder Antwort mitgibt und die den Browser Ihrer Besucher schützen. HSTS erzwingt eine verschlüsselte Verbindung. Die Content-Security-Policy begrenzt, woher Skripte geladen werden dürfen. X-Frame-Options verhindert, dass fremde Seiten Ihre Seite unbemerkt einbetten. Sie kosten nichts und lassen sich meist mit wenigen Zeilen Konfiguration setzen.
Dieser Check liest nur die Antwort-Header der angegebenen Seite. Er ruft keine weiteren Dateien auf und sucht nicht nach sensiblen Pfaden. Die tiefere Sicherheitsprüfung gehört zum vollständigen Check für Ihre eigene Website.
So setzen Sie die Header
Wo Sie die Header einstellen, hängt vom Hosting ab:
- Bei Apache in der Datei .htaccess mit der Anweisung Header always set, bei Nginx mit add_header in der Server-Konfiguration.
- Bei WordPress mit einem Sicherheits-Plugin oder über den Server, nicht im Theme.
- Bei Cloudflare unter Regeln für Antwort-Header oder Transform Rules.
- Mit Strict-Transport-Security beginnen, danach X-Content-Type-Options, Referrer-Policy und Frame-Schutz. Die Content-Security-Policy zuletzt und zunächst im Testmodus einführen, weil sie Seiten beschädigen kann.
- Die Seite erneut prüfen.
Häufige Fragen
Welcher Header ist der wichtigste?
Strict-Transport-Security (HSTS) ist für Seiten mit HTTPS der wichtigste, weil er die Verschlüsselung dauerhaft erzwingt. Danach folgen der Schutz vor dem Einbetten in fremde Seiten und die Content-Security-Policy.
Kann ein Sicherheits-Header meine Seite kaputt machen?
Vor allem die Content-Security-Policy kann das, wenn sie Skripte oder Bilder blockiert, die Sie brauchen. Führen Sie sie deshalb zunächst im Testmodus (Report-Only) ein und beobachten Sie die Meldungen.
Verbessern Sicherheits-Header mein Ranking?
Nicht direkt. Google nutzt HTTPS als schwaches Signal, die übrigen Header wirken nicht auf das Ranking. Sie schützen Besucher und erhöhen das Vertrauen in Ihre Seite.
Prüft das Tool auch Dateien wie .env oder .git?
Nein. Dieser Check liest ausschließlich die Header der Seite. Die Suche nach öffentlich erreichbaren sensiblen Dateien gehört zum vollständigen Check und zeigt Einzelheiten nur dem nachgewiesenen Eigentümer der Website.
Weitere kostenlose Tools
E-Mail-Sicherheits-Check
SPF, DKIM, DMARC und Mailserver Ihrer Domain: Landen Ihre E-Mails im Postfach?
Tool öffnenGoogle-Fonts-Check
Zeigt, ob Ihre Seite Schriften von Google-Servern lädt, und wie Sie sie selbst hosten.
Tool öffnenImpressum- und Datenschutz-Check
Sind Impressum und Datenschutzerklärung verlinkt und erreichbar?
Tool öffnenWie steht es um Ihre ganze Website?
Der kostenlose Check prüft Meta-Daten, Inhalt, Technik, Social Media und PageSpeed in etwa 30 Sekunden und erklärt die wichtigsten Probleme verständlich. Ohne Anmeldung.