Sicherheits-Header-Prüfer

Dieses Tool prüft 8 wichtige HTTP-Sicherheits-Header: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy (COOP) und X-XSS-Protection. Jeder Header wird auf Korrektheit analysiert und bewertet.

Permissions-Policy steuert, welche Browser-APIs (Kamera, Mikrofon, Geolokalisierung, Zahlung) von Ihrer Seite und Drittanbieter-Skripten zugegriffen werden können. Ohne diese Einstellung können auf Ihrer Website geladene Werbe-Tracker Standortzugriff von Ihren Nutzern anfordern. Das Einschränken dieser APIs mit geolocation=(), camera=(), microphone=() verhindert, dass Tracker sensible Berechtigungen anfordern.

Ohne Referrer-Policy senden Browser die vollständige URL jeder Seite (einschliesslich Pfad und Abfrageparameter wie [email protected]) an jede Drittanbieter-Ressource - Analytics-Tools, CDNs und Werbenetzwerke. Das Setzen von Referrer-Policy: strict-origin-when-cross-origin begrenzt Cross-Origin-Referrer-Daten auf nur die Domain und verhindert URL-basierte Datenlecks.

HTTP Strict Transport Security (HSTS) teilt Browsern mit, dass Ihre Website nur über HTTPS aufgerufen werden darf. Ohne es kann ein Angreifer im selben Netzwerk HTTP-Verbindungen abfangen (SSL-Stripping-Angriff). Sobald HSTS mit einem langen max-age gesetzt ist, werden Browser es ablehnen, sich über einfaches HTTP mit Ihrer Website zu verbinden, selbst wenn der Nutzer manuell http:// eingibt.

CSP kann komplex sein, um es richtig zu konfigurieren. Beginnen Sie mit Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; upgrade-insecure-requests und iterieren Sie. Verwenden Sie zuerst den Report-Only-Modus zum Testen, ohne etwas zu brechen. Mozilla Observatory und CSP Evaluator können Ihre Richtlinie validieren.

X-Frame-Options verhindert, dass Ihre Website in iframes auf anderen Domains eingebettet wird (Clickjacking-Schutz). CSPs frame-ancestors-Direktive ist der moderne Ersatz, aber X-Frame-Options wird noch für aeltere Browser benötigt. Verwenden Sie X-Frame-Options: DENY, ausser wenn Sie Same-Domain-iframe-Einbettung benötigen.

Für Nginx: Header im server{}-Block hinzufügen. Für Apache: Header-set-Direktiven in .htaccess oder httpd.conf verwenden. Für Cloudflare: Transform Rules verwenden, um Antwort-Header zu ändern. Für Vercel/Netlify: next.config.js headers() oder netlify.toml verwenden. Die meisten CDNs und Hosting-Plattformen unterstützen benutzerdefinierte Antwort-Header.