Wissensartikel
Website-Sicherheit: HTTPS und Sicherheits-Header richtig einstellen
Eine sichere Website braucht ein gültiges HTTPS-Zertifikat, das sich automatisch erneuert, und eine Handvoll HTTP-Header, die der Server bei jeder Antwort …
Kostenloses Tool · Technik & Crawling
HTTP-Header- & Sicherheits-Check
Lesen Sie die HTTP-Header einer Adresse aus und erfahren Sie, welche Sicherheits-Header fehlen, ob komprimiert und gecacht wird und wie lange das Zertifikat gilt.
- Kostenlos
- Ohne Anmeldung
- Ohne Tageslimit
- Keine Speicherung Ihrer Eingaben
Geben Sie eine Adresse ein – wir zeigen alle Antwort-Header und bewerten die wichtigsten Sicherheitsangaben.
Wir rufen die Adresse einmalig mit unserem Prüf-Crawler ab und speichern weder Adresse noch Ergebnis.
So funktioniert das Tool
Das Tool ruft die Adresse einmal mit unserem Prüf-Crawler AuffindigBot ab, folgt Weiterleitungen und liest die Antwort-Header des Ziels aus. Bewertet werden HSTS, Content-Security-Policy, Schutz vor MIME-Sniffing und Clickjacking, Referrer- und Permissions-Policy sowie verräterische Versionsnummern – dazu Kompression, Caching und das TLS-Zertifikat.
Cookies zeigen wir nur mit Namen und Eigenschaften, nie mit Inhalt. Header, die erst im Browser per JavaScript entstehen, oder Einstellungen hinter einer Anmeldung sehen wir nicht.
So lesen Sie das Ergebnis
- In Ordnung
- Der Header ist gesetzt und sinnvoll eingestellt.
- Verbesserbar
- Gesetzt, aber zu schwach (z. B. HSTS kürzer als 180 Tage) oder ein empfohlener Header fehlt.
- Problem
- Ein wichtiger Schutz fehlt oder ist fehlerhaft, etwa ein ungültiges oder bald ablaufendes Zertifikat.
- Info
- Optionaler Zusatzschutz oder Angabe ohne Wertung.
Welche Header wirklich zählen
Für die meisten Websites genügen fünf Angaben: Strict-Transport-Security erzwingt verschlüsselte Verbindungen, X-Content-Type-Options: nosniff verhindert, dass Browser Dateitypen erraten, frame-ancestors in der Content-Security-Policy (oder X-Frame-Options) verhindert das unbemerkte Einbetten Ihrer Seite, und Referrer-Policy sowie Permissions-Policy begrenzen, welche Daten und Gerätefunktionen weitergegeben werden.
Eine vollständige Content-Security-Policy ist der stärkste Schutz gegen eingeschleuste Skripte, braucht aber Planung: Jede eingebundene Quelle muss erlaubt sein. Setzen Sie sie daher schrittweise ein.
Mehr dazu im Wissensartikel Website-Sicherheit: HTTPS und Sicherheits-Header richtig einstellen.
Häufige Fragen
Was sind HTTP-Header?
Zusatzangaben, die der Server mit jeder Seite mitschickt – unsichtbar für Besucher, aber wichtig für Browser und Crawler. Sie regeln zum Beispiel, ob nur verschlüsselt verbunden werden darf (HSTS), welche Skripte laufen dürfen (Content-Security-Policy), wie lange eine Seite zwischengespeichert wird und ob sie komprimiert übertragen wird.
Sind Sicherheits-Header ein Rankingfaktor?
Nicht direkt. Google bewertet HTTPS als leichtes Signal, die übrigen Sicherheits-Header nicht. Sie schützen aber Ihre Besucher – etwa vor eingeschleusten Skripten oder davor, dass Ihre Seite unsichtbar in fremde Seiten eingebettet wird – und gehören zu einer sorgfältig betriebenen Website.
Wie setze ich fehlende Sicherheits-Header?
In der Server-Konfiguration (.htaccess bei Apache, add_header bei nginx), über ein Sicherheits-Plugin oder beim Hoster bzw. CDN. Beispiele für Apache und nginx finden Sie im Artikel Website-Sicherheit. Testen Sie eine neue Content-Security-Policy zuerst im Modus Content-Security-Policy-Report-Only, damit nichts kaputtgeht.
Warum sehe ich keine Werte der Cookies?
Mit Absicht: Wir zeigen nur Namen und Eigenschaften (Secure, HttpOnly, SameSite, Laufzeit), nie den Inhalt. Cookies, die erst per JavaScript im Browser gesetzt werden, sehen wir ohne Browser nicht – dafür ist der DSGVO-Check der bessere Startpunkt.