Sicherheits-Header-Generator
Hake die Header an, gib die externen Domains an, die die Website nutzt (Schriften, Analytics, Videos), und kopiere die Konfiguration deines Servers.
So geht’sSicherheits-Header der Website
Verfügbar auf: 
Sicherheits-Header-Generator: wofür es gut ist
Hake die Header an und gib die externen Domains an, die die Website für Skripte, Stile, Schriften, Bilder, Verbindungen und iframes nutzt. Das Tool baut die Content-Security-Policy mit 'self', frame-ancestors, base-uri, form-action und object-src 'none', mit der Option Nur-Bericht-Modus zum Testen vor dem Blockieren.
Die Konfiguration kommt fertig für Nginx (add_header always), Apache (.htaccess), die Datei _headers von Netlify und Cloudflare Pages oder vercel.json.
So geht’s
- Wähle den Server und hake die Header an.
- Gib die externen Domains an, die die Website nutzt.
- Kopiere die Konfiguration und teste mit geöffneter Browserkonsole.
Wann nutzen
- Die Sicherheit statischer Websites erhöhen.
- Die Website vor Clickjacking schützen.
- Die CSP einer Website vorbereiten, bevor das Blockieren aktiviert wird.
Häufige Fragen
Wozu dienen diese Header?
Sie sagen dem Browser, wie er sich schützen soll: nur HTTPS nutzen (HSTS), den Dateityp nicht erraten (nosniff), die Website nicht in einer anderen Website öffnen lassen (gegen Clickjacking), das Referer begrenzen und Kamera, Mikrofon und Standort sperren, die die Website nicht nutzt.
Kann die Content-Security-Policy die Website kaputt machen?
Ja, wenn eine Domain fehlt, die die Website nutzt (Google Fonts, Analytics, YouTube, CDN). Beginne mit dem Nur-Bericht-Modus (Report-Only), öffne die Website mit geöffneter Browserkonsole, füge die Domains hinzu, die als blockiert erscheinen, und wechsle erst dann in den blockierenden Modus.
Vorsicht beim HSTS?
Ja: Sobald der Browser das HSTS erhält, greift er für die Dauer von max-age nur noch per HTTPS auf die Domain zu. Aktiviere es erst, wenn HTTPS auf der ganzen Domain funktioniert, und hake Subdomains nur an, wenn alle HTTPS haben.
Wie prüfe ich, ob es funktioniert hat?
Öffne die Website, gehe in die Entwicklertools, Tab Netzwerk, klicke die Seite an und sieh die Header der Antwort. Es gibt auch Online-Prüfer für Sicherheits-Header.
Ist das wirklich kostenlos?
Ja, 100% kostenlos. Ohne Anmeldung, ohne Abo und ohne Nutzungslimit. Alle Tools von Tools123 sind kostenlos.