Security Headers Checker
Dieser kostenlose Security Headers Checker fragt Ihre URL ab und bewertet sechs Response-Header von 0 bis 100 mit einer Note von A bis F: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy und Permissions-Policy. Jede Lücke kommt mit einer einsatzbereiten Zeile für Nginx und Apache, sodass Sie sie in Minuten beheben können.
Security Headers Checker
Technical SEO
Über dieses Tool
Sicherheits-Header sind kurze Anweisungen, die Ihr Server mit jeder Seite sendet und dem Browser mitteilen, wie streng er sich verhalten soll. Sie können HTTPS erzwingen, verhindern, dass Ihre Seiten von anderen Websites eingerahmt werden, den Browser daran hindern, Dateitypen zu erraten, einschränken, welche Skripte ausgeführt werden dürfen, und entscheiden, wie viel Ihrer Adresse geteilt wird, wenn ein Besucher auf einen Link klickt. Die meisten erfordern eine Zeile Serverkonfiguration.
Der Checker ruft die Seite ab und bewertet sechs Header: Strict-Transport-Security (20 Punkte), Content-Security-Policy (25), X-Content-Type-Options (15), Clickjacking-Schutz durch X-Frame-Options oder frame-ancestors (15), Referrer-Policy (10) und Permissions-Policy (15). Ein schwacher Wert bringt die Hälfte der Punkte. Die Summe ergibt die Note: A ab 90, B ab 75, C ab 60, D ab 40, E ab 20 und F darunter.
Die Note misst, welche Header vorhanden sind und nicht offensichtlich schwach, nicht ob Ihre Website sicher ist. Eine Website kann A erreichen und trotzdem anfälligen Code haben, und eine Content-Security-Policy wird auf Vorhandensein und offensichtliche Schwächen überprüft, nicht gegen Ihre Skripte getestet. Fügen Sie Header einzeln hinzu und testen Sie die Website, besonders die Content-Security-Policy, die Skripte blockieren kann, auf die Sie angewiesen sind.
Häufig gestellte Fragen
Was ist eine gute Sicherheits-Header-Note?
A oder B ist ein starkes Ergebnis für die meisten Websites. Eine Content-Security-Policy ist der schwierigste Header zum sicheren Hinzufügen, daher sitzen viele gute Websites bei B oder C, bis sie eine Richtlinie erstellen. Beheben Sie zuerst die schnellen: HSTS, X-Content-Type-Options, eine Framing-Regel, Referrer-Policy und Permissions-Policy.
Verbessern Sicherheits-Header mein Ranking?
Google rankt Websites nicht nach ihren Headern. Sie schützen Besucher und Ihre Marke, und HSTS kann eine Umleitung sparen. Sie bauen auch Vertrauen bei sicherheitsbewussten Kunden und Partnern auf. Behandeln Sie sie als Website-Hygiene, die neben HTTPS gehört, nicht als SEO-Taktik.
Kann eine Content-Security-Policy meine Website beschädigen?
Ja. Eine strikte Richtlinie blockiert jedes Skript, jeden Stil oder Frame, das sie nicht zulässt, einschließlich Analytics, Chat-Widgets und Ad-Code, daher kann eine übereilte Richtlinie Funktionen beschädigen, auf die Besucher angewiesen sind. Beginnen Sie mit Content-Security-Policy-Report-Only, überprüfen Sie, was blockiert würde, passen Sie die Richtlinie an, dann wechseln Sie zum Erzwingungsmodus.
Wo füge ich diese Header hinzu?
In der Webserver-Konfiguration (Nginx add_header, Apache Header set), in einer CDN-Regel wie Cloudflare Transform Rules oder in Ihrem Anwendungscode. Bei Shared Hosting können Sie sie oft in der .htaccess-Datei hinzufügen. Die Fix-Snippets unten zeigen beide Nginx- und Apache-Formen.