HTTP Headers Checker
Dieser kostenlose HTTP-Headers-Checker fordert eine URL an und listet jeden Response-Header auf, den der Server sendet: Status, Content-Type, Caching, Kompression, Cookies und die Security Headers. Jeder Security Header (HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) wird mit bestanden, benötigt Verbesserung oder fehlt bewertet, mit der hinzuzufügenden Zeile. Geeignet für Entwickler und Website-Betreiber.
HTTP Headers Checker
Technical SEO
Über dieses Tool
Response Headers sind der Teil einer Webseite, den niemand sieht und auf den alle angewiesen sind. Sie teilen Browsern mit, ob die Seite gecacht werden soll, ob sie von einer anderen Website eingebunden werden darf, welche Skripte ausgeführt werden dürfen, ob Cookies vor Skripten sicher sind und ob HTTPS erzwungen werden soll. Fehlende Security Headers sind der häufigste Befund in jeder Website-Sicherheitsprüfung, und die meisten erfordern nur eine Zeile Server-Konfiguration zum Beheben.
Der Checker fordert die URL von unserem Server an, folgt bis zu drei Umleitungen und gibt die Header der endgültigen Antwort genau wie empfangen in einem kopierbaren Feld aus. Anschließend bewertet er die wichtigen: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (oder eine frame-ancestors-Direktive), Referrer-Policy, Permissions-Policy, Cookie-Flags (Secure, HttpOnly, SameSite), Cache-Control, Content-Encoding und die von Server und X-Powered-By durchgesickerten Versionsnummern.
Header können sich je nach Pfad, Gerät und ob ein CDN die Seite bereitstellt unterscheiden. Prüfen Sie daher die Seiten, die wichtig sind, nicht nur die Startseite. Eine Content-Security-Policy wird als vorhanden oder fehlend bewertet, nicht auf Stärke, da eine sichere Richtlinie von den Skripten abhängt, die Ihre Website wirklich verwendet. Von JavaScript oder im HTML (meta http-equiv) gesetzte Header sind keine Response Headers und erscheinen hier nicht.
Häufig gestellte Fragen
Welche Security Headers sollte jede Website senden?
Mindestens: Strict-Transport-Security auf HTTPS-Seiten, X-Content-Type-Options: nosniff, eine Framing-Regel (X-Frame-Options: SAMEORIGIN oder Content-Security-Policy mit frame-ancestors) und Referrer-Policy: strict-origin-when-cross-origin. Eine Content-Security-Policy und eine Permissions-Policy sind der nächste Schritt. Alle sind einzelne Zeilen in Nginx, Apache oder Ihren CDN-Einstellungen.
Was macht HSTS und ist es sicher, es zu aktivieren?
Strict-Transport-Security teilt Browsern mit, HTTPS für Ihre Domain für die angegebene Zeit zu verwenden, auch wenn ein Link http sagt. Es stoppt Downgrade-Angriffe und spart eine Umleitung. Aktivieren Sie es nur, wenn jede Seite und Subdomain über HTTPS funktioniert. Beginnen Sie mit einem kurzen max-age wie 300, dann erhöhen Sie es auf 31536000 (ein Jahr), sobald Sie sicher sind.
Beeinflussen Security Headers die SEO?
Nicht direkt: Google rankt Seiten nicht nach Headern. Sie sind wichtig für Vertrauen und Sicherheit, und HSTS kann eine Umleitung sparen. Caching- und Komprimierungs-Header beeinflussen die Geschwindigkeit, die ein Ranking-Faktor ist. Cache-Control auf statischen Dateien und gzip oder Brotli-Kompression sind daher zuerst zu beheben.
Warum zeigt der Checker andere Header als mein Browser?
Server und CDNs variieren Header je nach Anfrage: eine angemeldete Sitzung, ein mobiler User-Agent, eine gecachte Kopie am CDN-Edge oder eine andere Region können alle diese ändern. Unsere Anfrage kommt von einem Server mit einem Desktop-Browser-User-Agent und ohne Cookies. Vergleichen Sie sie mit einem privaten Browsing-Fenster.
Sollte ich die Server- und X-Powered-By-Header verbergen?
Verbergen Sie mindestens die Versionsnummern. Die Ankündigung von "Apache/2.4.29" oder "PHP/7.4" teilt Angreifern genau mit, welche bekannten Sicherheitslücken sie versuchen sollten. Der Server-Name allein ist harmlos. In Nginx verwenden Sie server_tokens off; in Apache ServerTokens Prod; in PHP entfernt expose_php = Off den X-Powered-By-Header.