Analyse von HTTP-Sicherheits-Headern
Fügen Sie einen Block roher HTTP-Header ein (zum Beispiel aus dem Netzwerk-Tab Ihres Browsers kopiert), um das Vorhandensein der wichtigsten Sicherheits-Header zu prüfen und die Funktion jedes einzelnen zu verstehen. Die Analyse erfolgt vollständig in Ihrem Browser.
So funktioniert es
Viele Webangriffe (Clickjacking, XSS, HTTP-Downgrade) lassen sich durch einige gut konfigurierte HTTP-Antwort-Header deutlich abschwächen. Fügen Sie den von Ihrem Server zurückgegebenen Header-Block ein (sichtbar im Netzwerk-Tab der Entwicklertools jedes Browsers, bei der Anfrage des Hauptdokuments), um zu prüfen, welche vorhanden sind, welche fehlen und was jeder konkret schützt.
Wo finde ich die HTTP-Header meiner Website?
Öffnen Sie die Entwicklertools Ihres Browsers (F12), wechseln Sie zum Tab „Netzwerk“, laden Sie die Seite neu, klicken Sie auf die Anfrage des Haupt-HTML-Dokuments und kopieren Sie den Abschnitt „Antwort-Header“ (Response Headers). Fügen Sie diesen Text unverändert in das Feld oben ein.
Sollte ich all diese Header auf jeder Website aktivieren?
Die meisten öffentlichen Websites profitieren von Strict-Transport-Security, X-Content-Type-Options und einer passenden Content-Security-Policy. Referrer-Policy und Permissions-Policy hängen stärker vom Kontext ab (sensible Daten in der URL, Bedarf an Kamera-/Mikrofonzugriff). X-XSS-Protection ist veraltet, und sein Fehlen ist bei einer modernen, gut konfigurierten Website normal.
Datenschutz: Die Analyse erfolgt vollständig in Ihrem Browser – die eingefügten Header werden niemals an einen Server gesendet.