Decke fehlende Security-Header auf und prüfe die Sicherheitseinstellungen deiner Seite.
Analysiert HSTS, CSP und X-Frame-Options, um Cross-Site-Scripting-Risiken zu erkennen.
Häufige Fragen zu diesem Tool
Wichtiges Hintergrundwissen und SEO-Tipps kurz für dich erklärt.
Grundlagen
Welche Security-Header sind essenziell?
Die wichtigsten HTTP-Security-Header umfassen HSTS zur Erzwingung von HTTPS, X-Frame-Options gegen Clickjacking und die CSP zur Abwehr von Cross-Site-Scripting (XSS).
Warum sind meine Security-Header nicht aktiv?
Viele Webhosting-Umgebungen aktivieren diese Header nicht standardmäßig. Du musst sie manuell in der Serverkonfiguration (z.B. .htaccess) oder über ein dezidiertes Security-Plugin setzen.
Warum wird vor "unsafe-inline" in der CSP gewarnt?
Die Direktive "unsafe-inline" erlaubt die direkte Ausführung von CSS und JavaScript im HTML-Dokument. Dies erhöht das Risiko für Cross-Site-Scripting-Angriffe. Eine sichere Konfiguration verwendet stattdessen Nonces oder Hash-Werte.
Welche Risiken birgt eine fehlerhafte HSTS-Konfiguration?
HSTS zwingt den Browser für einen definierten Zeitraum (max-age), deine Seite ausschließlich über HTTPS abzurufen. Ist dein Zertifikat ungültig, wird der Zugriff komplett blockiert. Teste HSTS daher zunächst mit einem kurzen max-age-Wert (z.B. 300 Sekunden).
Haben Security-Header Auswirkungen auf mein SEO?
Ja, indirekt. Google wertet HTTPS als Rankingfaktor. Zusätzliche Sicherheits-Header reduzieren das Risiko von Malware-Infektionen, die andernfalls zu einer Abwertung oder Deindexierung der Domain führen können.
Was bewirkt der X-Content-Type-Options Header?
Wenn dieser auf "nosniff" gesetzt ist, verbietet er dem Browser, den Dateityp (MIME-Type) zu erraten. Das verhindert Angriffe, bei denen schädlicher Code z.B. in einer scheinbar harmlosen Bilddatei versteckt hochgeladen und dann vom Browser fälschlicherweise als Skript ausgeführt wird.
Warum brauche ich eine Referrer-Policy?
Sie steuert, welche Informationen an externe Server gesendet werden, wenn jemand auf einen Link auf deiner Seite klickt. Eine strikte Policy schützt die Privatsphäre deiner Nutzer und verhindert, dass sensible Parameter aus deiner URL an Dritte weitergegeben werden.