HTTP-Header-Prüfer

Sinnvolle Werte für Sicherheitsheader

Strict-Transport-Security: max-age=31536000; includeSubDomains veranlasst Browser, ein Jahr lang HTTPS zu verwenden. Füge includeSubDomains nur hinzu, wenn jede Subdomain HTTPS mit einem gültigen Zertifikat bereitstellt. Der SSL-Prüfer bestätigt dies für jede Subdomain einzeln. X-Content-Type-Options: nosniff hat genau einen gültigen Wert. Referrer-Policy: strict-origin-when-cross-origin ist der Standard im Browser und sendet anderen Websites nur deine Domain. X-Frame-Options: DENY verhindert, dass andere Websites deine Seiten in Frames einbinden. Das moderne Gegenstück ist frame-ancestors 'none' in der Content Security Policy.

Eine Content Security Policy einführen

Eine CSP legt fest, von wo Skripte, Styles, Bilder und Frames geladen werden dürfen. Eine strenge CSP beschädigt jede Seite, die etwas lädt, das nicht aufgeführt ist. Führe sie zunächst als Content-Security-Policy-Report-Only ein: Browser melden Verstöße in der Konsole oder an einen von dir angegebenen Endpunkt, ohne etwas zu blockieren. Verschärfe die Richtlinie, bis keine Meldungen mehr auftreten, und wechsle dann zum durchsetzenden Header. Header, die von einem CDN oder Proxy gesetzt werden, erscheinen hier zusammen mit den eigenen Headern deines Servers. Ein entfernter Header kann daher weiter vorgeschaltet hinzugefügt werden.

So benutzt du es

1. Gib die URL einer öffentlichen Seite oder Ressource ein.
2. Wähle Header lesen.
3. Sieh dir die komplette Header-Auflistung und die Zusammenfassung der gängigen Sicherheitsrichtlinien an.

Datenschutz & Einschränkungen

Die URL wird über die TOEA‑API geprüft und nicht gespeichert. Set-Cookie- und Proxy-Authentifizierungs-Header-Werte werden im Ergebnis geschwärzt.