Sicherheitsheader prüfen

Unser Server ruft Ihre Startseite über https auf und bewertet die Kopfzeilen, mit denen der Server dem Browser Schutzregeln mitgibt.

Zum Beispiel beispiel.de. Die Adresse wird nicht im Klartext gespeichert.

So geht’s

Die Domain der Website eingeben; bewertet wird die Startseite, die nach allen Weiterleitungen erreicht wird.
Jede Kopfzeile erscheint als eigener Punkt mit Bewertung.
Unter „Einzelheiten“ stehen alle gelesenen Kopfzeilen mit ihrem Wert.

Beispiele

HSTS

Weist Browser an, die Website nur noch über https aufzurufen. Üblich ist ein Jahr:

Strict-Transport-Security: max-age=31536000

Schutz vor Einbettung

Verhindert, dass fremde Seiten Ihre Website unsichtbar einbetten (Clickjacking):

X-Frame-Options: SAMEORIGIN

nosniff

Der Browser hält sich an den angegebenen Dateityp und rät ihn nicht selbst:

X-Content-Type-Options: nosniff

Häufige Fragen

Ist eine fehlende Kopfzeile eine Sicherheitslücke?

Nicht von selbst. Die Kopfzeilen sind eine zusätzliche Schutzschicht, die bestimmte Angriffe erschwert. Eine Content-Security-Policy muss zur Website passen; eine zu strenge Regel kann Funktionen abschalten.

Warum steht dort „Nicht prüfbar“?

Bewertet wird nur eine Startseite, die normal antwortet. Sperrseiten des Hosters, Fehlerseiten oder fehlende Antworten liefern keine Grundlage; über Ihre Website sagt das nichts aus.