Security-Header prüfen
Teste die HTTP-Sicherheitsheader jeder Website (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und andere), erhalte eine Note von A+ bis F und sieh, wie du Fehlendes ergänzt.
So geht’sSicherheitsnote der Header
Verfügbar auf: 
Security-Header prüfen: wofür es gut ist
Gib eine Website-Adresse ein und sieh, welche HTTP-Sicherheitsheader sie sendet und welche fehlen: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und Cross-Origin-Opener-Policy. Zu jedem gibt es eine Erklärung und einen empfohlenen Wert zum Kopieren. Die Note von A+ bis F zieht Punkte für Header ab, die die Serverversion verraten, etwa Server und X-Powered-By.
Ideal, um eine Website vor einem Audit oder Penetrationstest zu prüfen.
So geht’s
- Website-Adresse eingeben.
- Auf Prüfen tippen.
- Fehlende Header auf dem Server ergänzen.
Wann nutzen
- Die Sicherheitsnote der Website verbessern.
- Die Website gegen Clickjacking schützen.
- Die Konfiguration nach Änderungen an Nginx oder Cloudflare prüfen.
Häufige Fragen
Was sind Sicherheitsheader?
Anweisungen, die der Server mit der Seite schickt, damit sich der Browser schützt: immer HTTPS nutzen, die Website nicht in fremde Seiten einbetten lassen (Clickjacking), festlegen, woher Skripte geladen werden dürfen und welche Funktionen wie Kamera und Standort die Seite anfragen darf.
Wie wird die Note berechnet?
Jeder wichtige Header bringt Punkte, HSTS und Content-Security-Policy zählen am meisten. Header, die die Server- oder Sprachversion verraten, kosten Punkte. Die Note reicht von A+ (alle vorhanden) bis F (fast keiner).
Wie füge ich diese Header hinzu?
Bei Nginx mit add_header, bei Apache mit Header set in der .htaccess, bei Cloudflare über Transform Rules und in Frameworks wie Express oder Next.js mit einer Middleware wie helmet. Das Tool zeigt für jeden den empfohlenen Wert.
Kann eine Content-Security-Policy meine Website kaputt machen?
Ja, wenn sie zu streng ist und genutzte Skripte blockiert. Beginne mit Content-Security-Policy-Report-Only, um nur Berichte zu sehen, und erlaube die nötigen Quellen, bevor du sie scharf schaltest.
Ist das wirklich kostenlos?
Ja, 100% kostenlos. Ohne Anmeldung, ohne Abo und ohne Nutzungslimit. Alle Tools von Tools123 sind kostenlos.