Header werden analysiert, nicht nur aufgelistet
CSP-Direktiven im Detail, Live-Prüfung der HSTS-Preload-Liste und ein CWE/OWASP-Verweis für jeden Befund - die gründlichste Einzelprüfung, die Scanverra durchführt.
Meine Header kostenlos prüfenDie wichtigsten Header auf einen Blick
| Header | Was er bewirkt | CWE |
|---|---|---|
| Content-Security-Policy | Beschränkt, welche Skripte, Styles und Ressourcen geladen werden dürfen | CWE-693 |
| Strict-Transport-Security | Erzwingt HTTPS und blockiert Protokoll-Downgrade-Angriffe | CWE-319 |
| X-Frame-Options | Verhindert, dass Ihre Seite für Clickjacking eingebettet wird | CWE-1021 |
| X-Content-Type-Options | Verhindert, dass Browser Antworten per MIME-Sniffing fehlinterpretieren | - |
| Referrer-Policy | Steuert, was im Referer-Header an andere Seiten gesendet wird | - |
| Permissions-Policy | Beschränkt den Zugriff auf Browser-Funktionen wie Kamera und Standort | - |
Was "analysiert" hier wirklich bedeutet
CSP-Direktivenanalyse
Nicht nur "ist eine CSP vorhanden" - base-uri, form-action, object-src und frame-ancestors werden einzeln geprüft, und zu weit gefasste Wildcard-Quellen werden markiert.
Live-Prüfung der HSTS-Preload-Liste
Prüft Ihre HSTS-Einstellungen max-age und includeSubDomains und gleicht dann live mit der HSTS-Preload-Liste der Browser ab, ob Ihre Domain tatsächlich vorab geladen wird und nicht nur so konfiguriert ist, dies anzufordern.
Erkennung veralteter Header
Markiert Header wie X-XSS-Protection, die Browser nicht mehr unterstützen, damit Sie sich nicht auf einen Schutz verlassen, den es gar nicht mehr gibt.
So funktioniert es
Ein Scan, jeder Header, echte Analyse.
URL einfügen
Eine externe Prüfung Ihrer live ausgelieferten Antwort-Header - dieselben, die der Browser jedes Besuchers erhält.
Jeder Header wird analysiert
Vorhandensein, Konfigurationstiefe und bekannte Schwachstellen - nicht nur eine einfache Präsenz-Checkliste.
Behebung mit exakten Header-Werten
Jeder Befund enthält eine CWE-Kennung, eine OWASP-Top-10-Kategorie und einen konkret empfohlenen Header-Wert.
Häufig gestellte Fragen
Aufzulisten, welche Header vorhanden sind, ist einfach. Zu analysieren, ob eine Content-Security-Policy tatsächlich restriktiv ist, ob Ihr HSTS-Header wirklich vorab geladen ist (nicht nur konfiguriert) und jede Lücke einer konkreten CWE- und OWASP-Kategorie zuzuordnen, ist der Teil, den die meisten Header-Checker auslassen.
CWE (Common Weakness Enumeration) ist eine standardisierte Kennung für eine Klasse von Sicherheitsschwächen; OWASP Top 10 ist eine weit verbreitete Liste der kritischsten Sicherheitsrisiken für Webanwendungen. Die Zuordnung von Befunden zu beiden macht sie leichter kommunizierbar gegenüber einem Sicherheitsteam oder Auditor, das bereits in diesem Vokabular arbeitet.
Ja - es gleicht live mit der HSTS-Preload-Liste der Browser ab, sodass Sie eine echte Antwort erhalten und nicht nur erfahren, ob Ihr Header das Wort „preload“ enthält.
Ja, wenn sie unbedacht eingeführt wird - eine zu strikte CSP kann Ihre eigenen Skripte, Analytics oder Zahlungsanbieter unbemerkt blockieren. Im unten verlinkten CSP-Leitfaden finden Sie eine sichere Einführungsstrategie mit Report-only-Modus vor der Durchsetzung.
Verwandte Audits
Website-Audit
Führen Sie einen kostenlosen Sofort-Audit für Performance, SEO, Barrierefreiheit und Best Practices durch.
SEO-Audit
Prüft Crawlbarkeit, Metadaten, strukturierte Daten und Auffindbarkeit durch KI-Agenten.
Performance-Audit
Ein vollständiges Performance-Labor-Audit für Desktop und Mobil, mit Framework-spezifischen Korrekturen.
Barrierefreiheits-Audit
Sehen Sie genau, welche WCAG-2.1/2.2-Erfolgskriterien Ihre Website nicht erfüllt und warum.
Sicherheits-Audit
Verwandelt einen Header-/Schwachstellen-Scan in Nachweise für SOC-2- und DSGVO-Kontrollen.
Website-Geschwindigkeits-Audit
Wie schnell Ihre Website lädt, in einfachen Worten - eine Zahl, kein Fachjargon.
Core-Web-Vitals-Audit
Prüft LCP, CLS und INP gegen Googles Schwellenwerte, im Labor und im Feld.
Broken-Link-Checker
Durchsucht die Links einer Seite und findet die toten, bevor Ihre Nutzer es tun.
Open-Graph-Checker
Prüft, ob Ihre Seite die og:title-, og:description- und og:image-Tags hat, die soziale Plattformen benötigen.
Schema-Markup-Checker
Prüft, ob Ihre Seite JSON-LD-strukturierte Daten ausliefert, die Suchmaschinen und KI-Agenten lesen können.
Sitemap-Checker
Prüft, ob Ihre sitemap.xml erreichbar, gültig und frei von häufigen Fehlern ist.
Redirect-Checker
Verfolgt die Weiterleitungskette einer URL und erkennt Schleifen, überflüssige Sprünge und HTTPS-zu-HTTP-Downgrades.
SSL-Checker
Testen Sie Ihr SSL-Zertifikat in Sekunden auf Ablauf, Hostname, Vertrauenskette, TLS-Version, Schlüsselstärke und HSTS.
Farbkontrast-Checker
Berechnen Sie das WCAG-Kontrastverhältnis zweier Farben, sehen Sie AA- und AAA-Ergebnisse und eine barrierefreie Farbempfehlung.
Website-Technologie-Checker
Finden Sie heraus, mit welchem CMS, Framework, E-Commerce-System und welchen Bibliotheken eine Website gebaut ist.
robots.txt-Checker
Prüfen Sie Syntax, Sitemap-Zeilen und Größenlimits und testen Sie, ob der Googlebot oder ein anderer Crawler eine URL abrufen darf.
Canonical-Checker
Finden Sie fehlende, doppelte, relative oder widersprüchliche Canonical-Tags und prüfen Sie, ob die kanonische URL lädt.
Hreflang-Checker
Prüft Sprachcodes, x-default und Selbstverweise und bestätigt, dass jede alternative Seite zurückverweist.
Meta-Tag-Checker
Prüfen Sie Title-Tags, Meta-Beschreibungen, H1-Überschriften, Robots-, Viewport- und Open-Graph-Tags einer Seite.
HTTP-Status-Checker
Prüfen Sie bis zu 20 URLs gleichzeitig auf 200, 301, 404 und 500 sowie Weiterleitungsketten.
CSP-Evaluator
Prüft eine Content-Security-Policy auf unsafe-inline, unsafe-eval, Wildcards sowie fehlendes object-src und base-uri, per URL oder eingefügter Richtlinie.
Mixed-Content-Checker
Findet http://-Skripte, -Stylesheets, -iframes und -Bilder auf HTTPS-Seiten, die Browser blockieren oder bemängeln.
Alt-Text-Checker
Findet Bilder mit fehlendem, leerem, als Dateiname gesetztem oder zu langem Alternativtext, für Barrierefreiheit und Bilder-SEO.
API-Key-Leak-Checker
Scannt öffentliches HTML und JavaScript einer Website auf offengelegte API-Schlüssel, Tokens und Secrets.
MCP-Sicherheitsscanner
Findet nicht fixierte MCP-Server, geleakte Tokens und riskante Agent-Einstellungen im Repo.
Vibe-Coding-Sicherheit
Prüft KI-geschriebenen Code auf Secrets, Injection-Lücken und riskante Abhängigkeiten.
ADA-Compliance-Checker
Testet Ihre Website gegen die WCAG-Kriterien, auf die sich ADA-Fälle beziehen.
EAA-Checker
Prüft Ihre Website gegen die WCAG-Grundlage des European Accessibility Act.
Für Agenturen
Kundenseiten auf SEO, Tempo, Barrierefreiheit und Sicherheit prüfen, mit einem Team-Plan.
Anleitungen zur Behebung
Weiterführende Artikel
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.
Prüfen Sie Ihre Security-Header kostenlos
CSP-Tiefe, HSTS-Preload-Verifizierung und CWE/OWASP-Zuordnung.
Kostenlosen Audit starten