HTTP-Header-Sicherheitsprüfer

Sicherheitsbezogene Punkte der HTTP-Antwortheader prüfen

Merkmale

Wichtige Sicherheitsheader

Den Einstellungsstatus von 10 Headern wie HSTS und CSP in einer Liste anzeigen

Sicherheit per Punktzahl sichtbar machen

Den Anteil der gesetzten Punkte ohne die nicht empfohlenen als Punktzahl und Abzeichen anzeigen

Nicht gesetzte Header kennzeichnen

Fehlende Header und die Rolle jedes Punkts direkt prüfen

Alle Antwortheader anzeigen

Alle Header einschließlich der nicht sicherheitsrelevanten in einer Liste prüfen

Verwendung

URL eingeben

Trage die URL der zu untersuchenden Website ins Eingabefeld ein; auch aus Beispielen wählbar

Prüfung ausführen

Beim Drücken der Ausführen-Schaltfläche werden die Header serverseitig abgerufen und analysiert

Punktzahl und Details prüfen

Die Gesamtsicherheit am Punktzahl-Abzeichen und den Einstellungsstatus jedes Headers in der Tabelle prüfen

Anwendungsfälle

Sicherheit der eigenen Website prüfen

Regelmäßig prüfen, ob die Header-Maßnahmen der laufenden Website ausreichend sind

Lücken in den Maßnahmen finden

Nicht gesetzte Header aufspüren und die hinzuzufügenden Punkte bestimmen

Einstellungen anderer Websites untersuchen

Die Header-Konfigurationspolitik einer als Vorbild dienenden Website prüfen

Letzte Prüfung vor der Veröffentlichung

Vor dem Release fehlende Einstellungen bei den Sicherheitsheadern prüfen

Grundwissen

Was sind Sicherheits-Header?

Sicherheits-Header sind eine Sammlung von Headern, die der Server in seine Antwort einfügt, um Sicherheitsanweisungen an den Browser zu übermitteln. Durch ihre Konfiguration können Sie den Schutz vor Abhören, Spoofing und unbefugtem Einbetten erheblich verbessern.

Typische Sicherheits-Header

HSTS：HSTS (Strict-Transport-Security) ist ein Header, der dem Browser anweist, nachfolgende Zugriffe immer über HTTPS durchzuführen.
CSP：CSP (Content-Security-Policy) ist ein Header, der die Quellen der zum Laden zulässigen Skripte und Bilder beschränkt und so die Ausführung unbefugten Codes verhindert.
X-Frame-Options：X-Frame-Options ist ein Header, der verhindert, dass eine Seite in ein iframe einer anderen Website eingebettet wird, und so Clickjacking-Angriffe verhindert.