Squish & Co. — Abt. Diagnose
Security-Header-Prüfer
Prüfen Sie die sechs entscheidenden HTTP-Sicherheits-Header und erhalten Sie eine Note danach, ob jeder seine Aufgabe wirklich erfüllt — nicht nur, ob er gesendet wurde. Ein kostenloses Werkzeug von Squish, ohne Anmeldung.
Probier , , Ohne Anmeldung
Die Ergebnisse erscheinen hier. Geben Sie eine Domain ein, um zu starten.
Was Sicherheits-Header wirklich tun
Sicherheits-Header sind Anweisungen, die Ihr Server mit jeder Seite mitschickt und die dem Browser sagen, was er zulassen darf. HSTS verweigert unverschlüsseltes HTTP. Content-Security-Policy begrenzt, woher Skripte geladen werden dürfen. X-Frame-Options verhindert, dass Ihre Seite im unsichtbaren Frame eines anderen geladen wird. Sie kosten nichts und schließen ganze Angriffskategorien — aber nur, wenn der Wert eine echte Einschränkung trägt. Deshalb wird hier bewertet, was jeder Header tut, und nicht, ob er gesendet wurde.
Häufige Fragen
Welche Header werden geprüft?
Sechs, gewichtet nach ihrer Bedeutung: HSTS und Content-Security-Policy mit je 25 Punkten, X-Frame-Options und X-Content-Type-Options mit 15, Referrer-Policy und Permissions-Policy mit 10. Das ergibt 100 Punkte, und die Note folgt dem Ergebnis.
Warum verliere ich Punkte bei einem Header, den ich gesetzt habe?
Weil ein vorhandener Header nicht immer ein wirksamer Header ist. content-security-policy: default-src * erlaubt Skript von jedem Host im Internet, und x-frame-options: ALLOWALL ist ein Wert, den seit Jahren kein Browser beachtet. Beide werden danach bewertet, was sie tun, also erhalten beide halbe statt volle Punkte.
Ich habe kein X-Frame-Options und bestehe trotzdem — warum?
Ihre Content Security Policy trägt frame-ancestors, das dieselbe Aufgabe erfüllt und den Header in jedem Browser ersetzt, der beides umsetzt. Den älteren Header zusätzlich zu setzen schadet nicht, sein Fehlen ist aber keine Lücke.
Sagt mir das, ob meine Website sicher ist?
Nein. Das Werkzeug liest die Header einer Antwort und bewertet diese. Es sucht keine Schadsoftware, testet Ihren Login nicht und sieht Ihren Code nicht an. Eine gute Note heißt hier, dass Ihre Header gut gesetzt sind — mehr nicht, und das sagen wir lieber, als einen Freibrief anzudeuten, den wir nicht gemessen haben.
Header sind Serversache, nicht Websitesache. Sie werden einmal in der Serverkonfiguration gesetzt — genau die Ebene, die Ihnen Managed Hosting abnimmt.
Squish-Hosting ansehen →