Security Header Checker
HSTS, CSP, Cookie-Flags.
- HSTS, CSP & Clickjacking-Schutz
- X-Content-Type-Options, Referrer- & Permissions-Policy
- Cookie-Flags & Versionsangaben
Hat dir das Tool geholfen?
☕️ Buy Me a CoffeeDu hast keine Ahnung, wie man das interpretiert? Dann meld dich einfach.
Häufige Fragen
Sind Security Header ein Rankingfaktor?
Direkt nicht, abgesehen von HTTPS. Sie schützen aber deine Besucher, etwa vor Clickjacking oder eingeschleustem Code, und eine gehackte Seite verliert schnell ihre Rankings. Ein Pflichtprogramm für jede Website.
Welche Header sollte jede Website haben?
Mindestens Strict-Transport-Security (HSTS), X-Content-Type-Options: nosniff, Clickjacking-Schutz per frame-ancestors in der CSP oder X-Frame-Options sowie eine Referrer-Policy. Eine Content-Security-Policy ist der stärkste Schutz, aber auch der aufwendigste.
Wie lang sollte HSTS gelten?
Mindestens ein Jahr, also max-age=31536000. Fang mit einem kleinen Wert an und erhöhe ihn, wenn alles läuft. Achtung: Solange HSTS gilt, ist die Seite für Besucher nur noch per HTTPS erreichbar.
Warum sind Versionsangaben ein Problem?
Header wie Server: Apache/2.4.41 oder X-Powered-By: PHP/7.4 verraten Angreifern, welche Software mit welcher Version läuft. Bekannte Sicherheitslücken lassen sich so gezielt ausnutzen. Am besten blendest du diese Angaben aus.
Werden meine Cookies ausgelesen?
Das Tool prüft nur die Flags wie Secure, HttpOnly und SameSite. Cookie-Namen und Werte werden nie angezeigt.
Über den Autor
Ruslan Julbarissow ist seit 2008 selbstständig und berät seither Agenturen, Konzerne und E-Commerce-Shops, wenn es um das Thema SEO geht.
Seine Leidenschaft sind Problemkinder, die etwas Gehirnschmalz statt eines Button-Klicks eines Tools erfordern.
Feedback, Anregungen, Beleidigungen? Her damit!
Das Ganze soll hier keine Einbahnstraße sein. Um die Tools stetig zu verbessern, hätte ich gerne konstruktives Feedback. Als Dank gibt es auch einen dofollow-Link.
Aber: Das bedeutet nicht, dass ihr hier Backlinks für eure Hundesalon-Kunden platzieren sollt. Schreibt etwas mit Mehrwert, dann wird der Kommentar auch freigeschaltet.