HTTP-Header-Checker

Ein HTTP-Header-Checker sendet eine GET-Anfrage an eine URL und erfasst die Response-Header, die der Server zurückgibt. Er zeigt diese Header in einem lesbaren Format an und bewertet sie, wie in diesem Tool, anhand einer Reihe von Sicherheitsrichtlinien. Das Ergebnis zeigt dir, welche sicherheitsrelevanten Header vorhanden sind, welche fehlen und wie der Gesamtscore von 100 aussieht.

Das Tool vergibt für jeden sicherheitsrelevanten Header eine feste Punktzahl. Content-Security-Policy ist 20 Punkte wert, HSTS 15, X-Frame-Options und X-Content-Type-Options je 10 und Referrer-Policy sowie Permissions-Policy je 5. Das Verbergen der Header Server und X-Powered-By bringt jeweils 5 Punkte. Punkte werden abgezogen, wenn diese Header fehlen oder wenn informationsoffenlegende Header vorhanden sind. Die Gesamtsumme von 100 spiegelt den Gesamtzustand wider.

Nein. Der Score misst nur die Header-Konfiguration. Eine Seite kann alle richtigen Header gesetzt haben und trotzdem Schwachstellen im Anwendungscode, in der Datenbankschicht oder in der Serverkonfiguration aufweisen. Der Score ist ein nützlicher Indikator für die Header-Qualität, aber kein umfassendes Sicherheits-Audit. Betrachte ihn als einen von mehreren Hinweisen, nicht als abschließendes Urteil über die Gesamtsicherheit der Seite.

Du kannst jede öffentlich erreichbare URL prüfen. Wenn der Server ein selbst signiertes oder anderweitig ungültiges TLS-Zertifikat verwendet, wiederholt das Tool die Anfrage automatisch ohne Zertifikatsprüfung, damit du trotzdem die Header-Daten erhältst. Interne Server, die nicht über das öffentliche Internet erreichbar sind, können nicht geprüft werden, da die Anfrage von den Servern von Pingie ausgeht und nicht von deinem lokalen Rechner.

Diese Header enthalten oft den Namen und die Version der Webserver-Software oder des Anwendungs-Frameworks. Diese Informationen sind für Angreifer nützlich, weil sie sie mit öffentlichen Schwachstellendatenbanken abgleichen können, um bekannte Exploits für genau diese Version zu finden. Das Entfernen oder Verschleiern dieser Header behebt keine zugrunde liegenden Schwachstellen, nimmt Angreifern aber eine kostenlose Informationsquelle. Das Tool zieht Punkte ab, wenn einer dieser Header vorhanden ist und Technologiedetails preisgibt.

Dieses Tool prüft HTTP-Response-Header, die ein Webserver liefert, wenn ein Browser oder Client eine Seite aufruft. Es konzentriert sich auf Sicherheitsrichtlinien auf Browser-Ebene. Ein DMARC-Checker fragt DNS-Einträge ab, um die E-Mail-Authentifizierungsrichtlinie zu bewerten. Das eine Tool arbeitet auf der HTTP-Ebene für Web-Traffic, das andere auf der DNS-Ebene für E-Mails. Sie betreffen unterschiedliche Angriffsflächen und ergänzen sich gegenseitig, ohne sich zu überschneiden.

CSP ist mit 20 Punkten gewichtet, weil er den breitesten Schutz aller einzelnen Header bietet. Er weist den Browser an, von welchen Quellen Skripte, Styles, Bilder, Schriften und andere Ressourcen geladen werden dürfen. Ein gut konfigurierter CSP reduziert die Auswirkungen von Cross-Site-Scripting-Angriffen erheblich, indem er den Browser daran hindert, eingeschleusten Code auszuführen. Er ist jedoch auch der schwierigste Header, um ihn korrekt zu konfigurieren, da die Richtlinie genau auf die spezifischen Ressourcenanforderungen jeder Seite abgestimmt sein muss.

HSTS (Strict-Transport-Security) weist den Browser an, für alle zukünftigen Anfragen an die Domain für einen bestimmten Zeitraum HTTPS zu verwenden. Sobald der Browser diesen Header empfangen hat, sendet er während der Richtlinienlaufzeit keine einfachen HTTP-Anfragen mehr an diese Domain, auch nicht, wenn der Nutzer http:// manuell eingibt. Das verhindert Protocol-Downgrade-Angriffe, bei denen ein Angreifer eine initiale HTTP-Anfrage abfängt, bevor eine Weiterleitung zu HTTPS erfolgen kann.

Das Tool verarbeitet die URL und gibt Ergebnisse für deine Sitzung zurück. Zur Nutzung sind keine personenbezogenen Daten erforderlich. Alle Details dazu, wie Pingie mit Daten umgeht, findest du in der Datenschutzerklärung . Gib keine URLs ein, die sensible Tokens oder Zugangsdaten im Query-String enthalten, da diese als Teil der Anfrage übertragen würden.

X-Frame-Options teilt dem Browser mit, ob die Seite in einem iFrame auf einer anderen Domain eingebettet werden darf. Wenn er auf DENY oder SAMEORIGIN gesetzt ist, verhindert er, dass Angreifer die Seite als transparente Überlagerung auf einer bösartigen Website einbetten, eine Technik namens Clickjacking. Das Ziel des Angreifers ist es, Nutzer dazu zu bringen, auf unsichtbare Elemente zu klicken, zum Beispiel Bestätigungsschaltflächen oder Berechtigungsanfragen. Dieser Header ist eine direkte Gegenmaßnahme zu dieser Technik.

Browser-Entwicklertools zeigen dir die Header deiner eigenen Browsersitzung und erfordern, dass du fehlende Sicherheits-Header manuell identifizierst. Dieses Tool ruft Header aus der Perspektive des Servers ab, bewertet sie automatisch und listet konkrete Warnungen und Empfehlungen auf. Es ist für Audit-Zwecke schneller und liefert eine strukturierte Ausgabe statt einer rohen Liste. Es ist auch nützlich, um URLs zu prüfen, die du nicht direkt im Browser aufrufen möchtest.

Permissions-Policy (früher Feature-Policy) ermöglicht es einer Website, zu deklarieren, welche Browser-Funktionen sie benötigt, und den Zugriff auf andere explizit zu sperren. Eine Seite, die keine Kamera oder Standortabfrage benötigt, kann mit diesem Header verhindern, dass irgendein Skript auf der Seite diese Berechtigungen anfordert. Das begrenzt den Schaden, falls ein von der Seite geladenes Drittanbieter-Skript kompromittiert wird oder sich unerwartet verhält. Das Tool markiert das Fehlen dieses Headers als verpasste Gelegenheit, den Funktionszugriff einzuschränken.