HTTP-Header-Checker mit Sicherheits-Bewertung

Warum sollten Sie Ihre Sicherheits-HTTP-Header analysieren?

Sicherheits-HTTP-Header bilden die erste Verteidigungslinie Ihrer Website auf der Browser-Seite. Ohne CSP, ohne HSTS, ohne X-Frame-Options überlassen Sie Angreifern Angriffsflächen, die moderne Standards schließen können. Ein regelmäßiger Website-Sicherheitstest erkennt diese Versäumnisse, bevor sie zu Vorfällen werden.

Unser Analyzer ruft die von Ihrem Server zurückgegebenen HTTP-Header ab, vergleicht sie mit den Empfehlungen von OWASP und Mozilla und berechnet eine gewichtete Punktzahl mit einer Note von A bis F. In 30 Sekunden erhalten Sie einen klaren Überblick über die zu behebenden Lücken.

Drei Haupteinsatzfälle:

• Produktions-Audit: die Konfiguration der Security-Header vor der öffentlichen Freigabe validieren
• Compliance-Tracking: ein PCI-DSS-, ISO-27001- oder SOC-2-Audit vorbereiten, das diese Kontrollen verlangt
• Incident Response: prüfen, dass nach einem Server-Update kein kritischer HTTP-Header entfernt wurde

So nutzen Sie den Analyzer in 3 Schritten

Schritt 1: zu testende URL eingeben

Geben Sie die vollständige zu analysierende URL ein, zum Beispiel https://captaindns.com. Das Tool akzeptiert öffentliche URLs über HTTPS oder HTTP und folgt bei Bedarf der ersten Weiterleitung.

Schritt 2: Header-Analyse starten

Klicken Sie auf Header prüfen. Der Server führt eine GET-Anfrage an die URL durch, erfasst alle zurückgegebenen HTTP-Header und wendet die Scoring-Regeln auf die 10 überwachten Security-Header an.

Schritt 3: Note und Empfehlungen lesen

Sie erhalten:

• Die Note von A bis F und die Punktzahl von 100
• Das Detail Header für Header mit Status vorhanden/fehlt
• Die empfohlenen Werte für jeden fehlenden Header
• Die erklärenden Tooltips zur Rolle jedes Headers

Was sind Sicherheits-HTTP-Header?

Ein HTTP-Header ist eine Metadaten-Zeile, die der Server zusätzlich zum Seiteninhalt sendet. Security-Header sind eine spezifische Familie von Headern, die das Browser-Verhalten steuern, um clientseitige Angriffe zu blockieren oder zu begrenzen.

Wenn Ihr Browser https://captaindns.com lädt, sendet der Server zuerst seine HTTP-Header vor dem HTML. Diese Header sagen zum Beispiel: 'Erzwinge HTTPS für ein Jahr' (HSTS), 'Führe nur Skripte von derselben Domain aus' (CSP) oder 'Verweigere die Anzeige in einem Iframe' (X-Frame-Options).

Beispiel für HTTP-Header, die von einer sicheren Website zurückgegeben werden:

HTTP/2 200
strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'; script-src 'self'
x-content-type-options: nosniff
x-frame-options: DENY
referrer-policy: strict-origin-when-cross-origin
permissions-policy: geolocation=(), microphone=()

Ohne diese Security-Header wendet der Browser viel permissivere Standardverhalten an, die aus den Anfängen des Webs stammen.

Die 10 analysierten Header und ihre Rolle

Das Tool bewertet 10 HTTP-Header, gewichtet nach ihrer Auswirkung auf die Sicherheitslage. Sechs davon bilden die Basispunktzahl (kritisch + Standard), vier weitere sind erweiterte Header, die als Bonus zählen.

Maximale Basispunktzahl: 10 Punkte (kritische + Standard-Header). Die vier erweiterten Header bringen bis zu +2 Bonuspunkte, die eine schwache Konfiguration ausgleichen können; die Summe wird jedoch bei 10 gedeckelt. Zusätzlich zieht das Tool zwei veraltete Header als Malus ab, wenn sie mit unsicheren Werten vorhanden sind: X-XSS-Protection (-0,5, sobald vorhanden) und X-Permitted-Cross-Domain-Policies (-0,2, wenn der Wert nicht none ist).

Wie wird Ihre Note von A bis F berechnet?

Die Berechnung folgt einer einfachen und reproduzierbaren Logik.

Schritt 1: Roh-Punktzahl Jeder vorhandene und korrekt konfigurierte kritische oder Standard-Header bringt seine volle Gewichtung. Ein Header, der vorhanden, aber falsch konfiguriert ist (z. B. HSTS mit zu kurzem max-age), bringt eine reduzierte Gewichtung. Die erweiterten Header addieren Bonuspunkte, ihr Fehlen wird nicht bestraft; die veralteten Header ziehen Punkte ab. Die maximale Roh-Punktzahl beträgt 10 Punkte (Bonus und Malus verschieben das Ergebnis innerhalb der Grenzen 0 bis 10).

Schritt 2: Skalierung auf 100 Die Roh-Punktzahl wird per Dreisatz auf 100 skaliert: score = (roh / 10) × 100, gedeckelt bei 100.

Schritt 3: Notenvergabe

Wichtig: HSTS und CSP machen zusammen 6 der 10 Basispunkte aus, also mehr als die Hälfte der Punktzahl. Ihr Fehlen senkt die Note mechanisch um mehrere Stufen. Die Bestnote A+ ist zusätzlich an eine starke HSTS- und eine starke CSP-Konfiguration gebunden.

Konkrete Anwendungsfälle

Vorfall 1: Website nach Relaunch mit F bewertet

Symptom: nach Migration zu einem neuen Framework erhält die Website ein F, obwohl sie vor dem Relaunch ein B hatte.

Diagnose: der Analyzer enthüllt das Fehlen von CSP, HSTS und X-Frame-Options. Die Header wurden vom alten Nginx-Server hinzugefügt, beim Wechsel zu einem managed Hosting entfernt, das sie nicht standardmäßig enthält.

Maßnahme: die Security-Header in der neuen Framework-Konfiguration hinzufügen (next.config.js, Express-Middleware usw.) und die Analyse erneut starten, um die Rückkehr zur Note B oder A zu bestätigen.

Vorfall 2: Compliance-Audit blockiert

Symptom: der Auditor meldet das Fehlen von Security-Headern als Major Finding und blockiert die PCI-DSS-Zertifizierung.

Diagnose: der Website-Sicherheitstest bestätigt, dass HSTS fehlt, CSP fehlt, Referrer-Policy nicht definiert ist. Der Apache-Server liefert die Standardkonfiguration ohne Ergänzungen.

Maßnahme: die Header set-Direktiven im Apache-vhost konfigurieren, in Staging deployen, den Analyzer starten, um die Note zu prüfen, dann in Produktion pushen. Den Test erneut durchführen, um dem Auditor den konformen Bericht zu liefern.

Vorfall 3: Clickjacking im Bug-Bounty entdeckt

Symptom: ein Sicherheitsforscher meldet via Bug-Bounty, dass er das Kunden-Dashboard in einem bösartigen Iframe einbetten kann.

Diagnose: der Analyzer zeigt X-Frame-Options abwesend und CSP ohne frame-ancestors-Direktive. Der Browser erlaubt das Embedding daher standardmäßig.

Maßnahme: X-Frame-Options: DENY und frame-ancestors 'none' zur CSP hinzufügen. Die Analyse erneut starten, um die Schließung der Lücke zu bestätigen, und das Bug-Bounty-Ticket schließen.

FAQ - Häufig gestellte Fragen

F: Was ist ein HTTP-Header-Analyzer?

A: Ein HTTP-Header-Analyzer ist ein Tool, das die von einem Webserver bei einer Anfrage zurückgegebenen Header inspiziert. Es prüft das Vorhandensein und die Konfiguration von Security-Headern wie CSP, HSTS oder X-Frame-Options. Unser Analyzer ruft diese HTTP-Header ab, bewertet ihre Konformität mit den OWASP-Best-Practices und vergibt eine Note von A bis F. Das ist die Grundlage für einen vollständigen und schnellen Website-Sicherheitstest.

F: Welche Security-Header sind 2026 unverzichtbar?

A: Die kritischen Header in 2026 sind Content-Security-Policy (CSP) zum Blockieren nicht autorisierter Skripte, Strict-Transport-Security (HSTS) zum Erzwingen von HTTPS, X-Content-Type-Options zur Verhinderung von MIME-Sniffing, X-Frame-Options oder frame-ancestors CSP gegen Clickjacking und Referrer-Policy zur Begrenzung von URL-Leaks. Permissions-Policy und Cross-Origin-Opener-Policy ergänzen eine moderne Sicherheitslage. Ohne diese HTTP-Header bleibt Ihre Website bekannten Angriffen ausgesetzt.

F: Was ist der Unterschied zwischen CSP und HSTS?

A: CSP (Content-Security-Policy) steuert die erlaubten Quellen zum Laden von Skripten, Styles, Bildern oder Iframes. Es schützt vor XSS und Content-Injection. HSTS (Strict-Transport-Security) zwingt den Browser, die Website nur über HTTPS aufzurufen, und verhindert Downgrade-Angriffe. CSP wirkt auf der Inhaltsebene der Seite, HSTS auf der Transportebene. Beide HTTP-Header sind komplementär und unverzichtbar für eine hohe Sicherheits-Bewertung.

F: Wie füge ich meiner Website Security-Header hinzu?

A: Das hängt von Ihrem Stack ab:

• Nginx: add_header-Direktiven im server-Block
• Apache: Header set in .htaccess oder der vhost-Konfiguration
• Cloudflare: Transform Rules oder Workers
• Next.js: headers() in next.config.js
• Express: helmet-Middleware
• Laravel: dedizierte Middleware

Starten Sie nach dem Deployment die Analyse erneut, um zu bestätigen, dass die HTTP-Header korrekt zurückgegeben werden.

F: Sind fehlende Security-Header eine Schwachstelle?

A: Fehlende Header sind keine direkte Schwachstelle, aber sie entfernen Verteidigungsschichten. Ohne CSP wird eine XSS-Lücke voll ausnutzbar. Ohne HSTS bleibt der Benutzer in feindlichen Netzwerken anfällig für sslstrip. Ohne X-Frame-Options kann Ihre Website für Clickjacking eingebettet werden. PCI-DSS-, ISO-27001- und SOC-2-Auditoren betrachten diese HTTP-Header als erwartete Sicherheitskontrollen.

F: Ist dieses Tool für den Website-Sicherheitstest kostenlos?

A: Ja, unser HTTP-Header-Analyzer ist vollständig kostenlos, ohne Registrierung oder Nutzungslimit. Starten Sie beliebig viele Website-Sicherheitstests auf jeder öffentlichen URL. Die Ergebnisse umfassen die Note von A bis F, das Detail jedes analysierten Headers und Konfigurationsempfehlungen. Es werden keine Daten über die für die Berechnung der Punktzahl notwendige Zeit hinaus aufbewahrt.

Ergänzende Tools

Nützliche Ressourcen

• MDN - HTTP security headers (vollständige Mozilla-Referenz)
• OWASP Secure Headers Project (OWASP-Empfehlungen)
• RFC 6797 - HTTP Strict Transport Security (HSTS-Spezifikation)
• MDN - X-Frame-Options (X-Frame-Options-Dokumentation)
• Content-Security-Policy Reference (CSP-Referenz mit Beispielen)