So nutzt du: Security Headers Prüfer
- Gib die Website-URL ein und klicke auf Header prüfen. Wir folgen Weiterleitungen und analysieren die finale Antwort.
- Lies die Note und die Tabelle pro Header – jeder fehlerhafte Header erklärt das Risiko und den empfohlenen Wert.
- Wähle deine Plattform (Nginx, Apache, Netlify, Vercel oder Cloudflare) und kopiere den generierten Schnipsel für die fehlenden Header.
- Deploye die Änderung und prüfe danach erneut. Teste eine strikte Content-Security-Policy zuerst im Modus
Report-Only, damit keine Skripte kaputtgehen.
Was sind HTTP-Sicherheitsheader?
Sicherheitsheader sind HTTP-Antwortheader, die dem Browser sagen, eingebaute Schutzmechanismen zu aktivieren: immer HTTPS verwenden, die Seite nicht in einem fremden Frame darstellen, nur Skripte aus vertrauenswürdigen Quellen ausführen, Dateitypen nicht raten und einschränken, welche Informationen im Referer-Header weitergegeben werden. Sie kosten nichts, erfordern in den meisten Fällen keine Code-Änderungen und schließen ganze Angriffsklassen wie Clickjacking, Protokoll-Downgrades und viele Cross-Site-Scripting-(XSS)-Payloads.
So wird die Note berechnet
Jeder der sechs Header bringt Punkte. Die Summe (0–100) ergibt die Note: A+ ab 90, A ab 75, B ab 60, C ab 45, D ab 30, E ab 15, darunter F. Seiten, die nicht über HTTPS ausgeliefert werden, sind auf 20 Punkte begrenzt.
| Header | Punkte | Schützt vor | Empfohlener Wert |
|---|---|---|---|
| Strict-Transport-Security | 25 | Downgrade auf HTTP, SSL-Stripping, Cookie-Diebstahl im öffentlichen WLAN | max-age=31536000; includeSubDomains (mindestens 180 Tage, um zu bestehen) |
| Content-Security-Policy | 25 | XSS, Dateninjektion, unerwünschte Drittanbieter-Skripte | Eine auf deine Seite zugeschnittene Policy, z. B. ausgehend von default-src 'self' |
| X-Content-Type-Options | 15 | MIME-Sniffing, das Uploads in ausführbare Skripte verwandelt | nosniff |
| X-Frame-Options | 15 | Clickjacking über versteckte iframes | SAMEORIGIN oder CSP frame-ancestors 'self' |
| Referrer-Policy | 10 | Weitergabe vollständiger URLs (mit Tokens oder Suchbegriffen) an andere Seiten | strict-origin-when-cross-origin |
| Permissions-Policy | 10 | Eingebettete Inhalte missbrauchen Kamera, Mikrofon, Standort | camera=(), microphone=(), geolocation=() |
Außerdem markieren wir informationspreisgebende Header wie Server: Apache/2.4.41 oder X-Powered-By: PHP/8.1. Genaue Versionsnummern helfen Angreifern, bekannte Schwachstellen zuzuordnen. Entferne sie oder kürze sie.
Header auf gängigen Plattformen ergänzen
Nach dem Scan erzeugt das Tool Schnipsel, die nur die fehlenden Header enthalten: add_header … always; für Nginx, Header always set für Apache (.htaccess oder vhost), eine _headers-Datei für Netlify und Cloudflare Pages, das headers-Array in vercel.json sowie einen Cloudflare Worker oder eine Transform Rule für Seiten hinter Cloudflare.
Webflow, Squarespace, Wix und ähnliche gehostete Baukästen erlauben in Standardtarifen meist keine eigenen Antwortheader. Die übliche Lösung ist ein Reverse-Proxy vor der Seite: Leite die Domain zum Beispiel über Cloudflare und setze die Header mit einer Transform Rule oder einem Worker.
CSP und HSTS sorgfältig einführen
Eine strikte Content-Security-Policy kann Analytics, Chat-Widgets oder Inline-Skripte blockieren. Führe sie zuerst als Content-Security-Policy-Report-Only ein, beobachte die Browser-Konsole auf Verstöße und verschärfe die Policy, bevor du sie erzwingst. HSTS wird von Browsern für die gesamte max-age-Dauer zwischengespeichert. Starte deshalb mit einem kurzen Wert (z. B. einem Tag), falls Subdomains noch auf HTTP angewiesen sind. Für den Rest der Antwort prüfe jeden Header mit dem HTTP Header Checker und überprüfe Zertifikate mit dem SSL Checker.
Auch gesucht als: security headers prüfen, hsts checker, csp checker, http header sicherheit, x-frame-options, content security policy, header scanner, securityheaders.
Passende Tools zu: Security Headers Prüfer
- CORS-Header-Generator & Tester — Siehst du „has been blocked by CORS policy“?
- Redirect-Checker — Verfolge eine URL Schritt für Schritt, um jede Weiterleitung, ihren Statuscode und ihre Ladezeit zu sehen.
- SEO-Check & Website-Audit — Füge eine URL ein, um bis zu 70 On-Page-SEO-Prüfungen sowie ein vollständiges Website-Audit durchzuführen: Lighthouse-Geschwindigkeit, Sicherheits-Header & SSL, strukturierte Daten, defekte Links, robots.txt & KI-Crawler, Grundlagen der Barrierefreiheit, Tracking & Einwilligung, SPF/DKIM/DMARC und Ablauf der Domain – zusammengefasst in einem Website-Score mit priorisierten Korrekturvorschlägen.
- Seitengeschwindigkeits-Test — Starte Google Lighthouse für jede URL, mobil oder am Desktop.
Häufige Fragen
Beeinflussen Sicherheitsheader das SEO?
Brauche ich X-XSS-Protection noch?
X-XSS-Protection: 0 der empfohlene Wert.Wie füge ich Sicherheitsheader zu einer Webflow-Seite hinzu?
Kann eine Content-Security-Policy meine Seite kaputt machen?
Content-Security-Policy-Report-Only, behebe die gemeldeten Verstöße und wechsle dann zum erzwingenden Header.