HTTP-Sicherheitsheader einer Website prüfen
HTTP-Sicherheitsheader sind Regeln, die ein Webserver zusammen mit seiner Antwort an den Browser sendet. Sie können Angriffsflächen begrenzen, ersetzen aber keine sichere Anwendung. Dieses Tool prüft Antwort-Header einer von Ihnen eingegebenen Website. Es zeigt nicht die Header Ihres eigenen Browsers an.
Content-Security-Policy kann festlegen, aus welchen Quellen Skripte, Bilder, Frames und andere Ressourcen geladen werden dürfen. Eine sorgfältige CSP erschwert bestimmte Cross-Site-Scripting-Angriffe. Strict-Transport-Security weist Browser an, eine Domain künftig nur über HTTPS aufzurufen. X-Content-Type-Options mit nosniff verhindert in unterstützten Browsern, dass Inhalte entgegen dem angegebenen Typ interpretiert werden.
Referrer-Policy begrenzt Informationen über die vorherige Seite. Permissions-Policy steuert ausgewählte Browserfunktionen. X-Frame-Options kann das Einbetten in Frames einschränken, wobei CSP frame-ancestors die modernere und flexiblere Steuerung bietet. Cross-Origin-Opener-Policy trennt bestimmte Browserkontexte voneinander.
Ein vorhandener Header ist nicht automatisch korrekt. Eine CSP mit sehr breiten Quellen kann wenig schützen, ein zu kurzer HSTS-Zeitraum kann unzureichend sein und eine Permissions-Policy muss zum Funktionsumfang der Website passen. Die Note dieses Tools ist deshalb ein transparenter Orientierungswert nach Vorhandensein, kein Sicherheitsaudit und kein Nachweis über die Wirksamkeit der Werte.
Was der Header-Check tatsächlich abruft
Unser Server sendet eine HEAD-Anfrage an die eingegebene URL, folgt Weiterleitungen und zeigt die Antwort-Header des erreichten Ziels. Bewertet werden HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und Cross-Origin-Opener-Policy. Eine HTTPS-URL fließt ebenfalls in den Punktwert ein.
Manche Server behandeln HEAD anders als GET oder setzen Header nur auf bestimmten Pfaden. Der Check analysiert außerdem nicht die Syntax jeder Richtlinie. Prüfen Sie auffällige Werte deshalb im Kontext der konkreten Anwendung und testen Sie wichtige Seiten zusätzlich mit Browserwerkzeugen.