Kostenloses Tool von Schiertz & Lämmer

Security-Header-Check: Wie sicher ist Ihre Website?

Prüfen Sie HTTP-Sicherheitsheader, SSL/TLS-Zertifikat und Cache-Einstellungen Ihrer Website in Sekunden – mit Note, konkreten Handlungsempfehlungen und PDF-Report.

CSP, HSTS, X-Frame-Options & Co.
SSL-Zertifikat & HTTPS-Weiterleitung
Cache-Control für CSS, JS, Bilder & Fonts
PDF-Report zum Download

Was prüft der Security-Header-Check?

Der Check ruft Ihre Website wie ein Browser auf und wertet die Antwort des Servers aus. Jeder Prüfpunkt ist nach seiner Bedeutung für die Sicherheit gewichtet – daraus ergibt sich eine Gesamtnote von A+ bis F.

Content-Security-Policy (CSP)

Der wichtigste Schutz gegen Cross-Site-Scripting. Wir analysieren die Direktiven und finden Schwachstellen wie 'unsafe-inline', 'unsafe-eval' oder zu weit gefasste Quellen.

Strict-Transport-Security (HSTS)

Erzwingt HTTPS für alle künftigen Aufrufe und verhindert SSL-Stripping. Geprüft werden max-age, includeSubDomains und preload.

X-Frame-Options & frame-ancestors

Schützt vor Clickjacking, indem das Einbetten Ihrer Seite in fremde Frames unterbunden wird.

X-Content-Type-Options

Mit nosniff errät der Browser keine Dateitypen – ein einfacher, aber wirksamer Schutz vor MIME-Sniffing-Angriffen.

Referrer- & Permissions-Policy

Steuern, welche Informationen an andere Websites weitergegeben werden und welche Browser-Funktionen (Kamera, Standort …) erlaubt sind.

SSL/TLS & HTTPS-Weiterleitung

Gültigkeit und Laufzeit des Zertifikats, TLS-Version sowie die korrekte 301-Weiterleitung von HTTP auf HTTPS.

Cookies & Server-Informationen

Sind Cookies mit Secure, HttpOnly und SameSite gesetzt? Verraten Header unnötig Software-Versionen?

Cache-Control & Performance

Cache-Dauer von HTML, CSS, JavaScript, Bildern und Schriften, Validierung per ETag sowie gzip/Brotli-Komprimierung.

Häufige Fragen zum Security-Header-Check

Was sind HTTP-Security-Header?

Security-Header sind Anweisungen, die der Webserver bei jeder Antwort an den Browser mitschickt. Sie legen fest, wie sich der Browser verhalten soll – etwa ob die Seite nur per HTTPS geladen, in fremde Frames eingebettet oder Skripte von beliebigen Quellen ausgeführt werden dürfen. Richtig gesetzt schützen sie vor Cross-Site-Scripting, Clickjacking und dem Abgreifen von Daten.

Ist der Security-Header-Check kostenlos?

Ja. Die Prüfung, die Auswertung im Browser und der PDF-Report sind kostenlos. Für den Versand per E-Mail bestätigen Sie Ihre Adresse einmalig mit einem Code.

Welche Header sollte jede Website setzen?

Mindestens Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options bzw. frame-ancestors, Referrer-Policy und Permissions-Policy. Ergänzend empfehlen sich Cross-Origin-Opener-Policy und sichere Cookie-Attribute.

Was wird bei der Cache-Analyse geprüft?

Wir lesen alle Stylesheets, Skripte, Bilder und Schriften der Startseite aus und prüfen, wie lange Browser und CDN sie zwischenspeichern dürfen (Cache-Control, Expires), ob ETag oder Last-Modified gesetzt sind und ob Textdateien komprimiert ausgeliefert werden. Gutes Caching verkürzt die Ladezeit spürbar.

Wie setze ich die Header in TYPO3 um?

In TYPO3 lassen sich Security-Header über die Webserver-Konfiguration (.htaccess bzw. nginx), über TypoScript (config.additionalHeaders) oder für die CSP ab TYPO3 12 über die eingebaute Content-Security-Policy-API setzen. Wir unterstützen Sie gern bei der Umsetzung.

Werden die geprüften Daten gespeichert?

Für PDF-Download und E-Mail-Versand wird das Prüfergebnis für maximal 48 Stunden zwischengespeichert und danach automatisch gelöscht. E-Mail-Adressen werden nur für den Versand verwendet.