Security-Header prüfen
Fügen Sie die Adresse einer Seite ein. Wir lesen ihre HTTP-Header, prüfen die neun Schutzmaßnahmen, die zählen, und vergeben eine Note, die Sie von Hand nachrechnen können.
Wie die Note berechnet wird
Die Note ist eine Summe, keine Schätzung. Jede Prüfung ist eine feste Punktzahl wert; eine bestandene Prüfung bringt alle Punkte, eine teilweise die Hälfte (abgerundet: 7 von 15), eine fehlende keine. Mit den oben angezeigten Headern kommen Sie von Hand auf dieselbe Summe.
| Prüfung | Punkte | Warum dieses Gewicht |
|---|---|---|
| HTTPS | 20 | ohne HTTPS hält kein anderer Schutz |
| Content-Security-Policy | 20 | der einzige Schutz, der den Schaden einer XSS-Lücke begrenzt |
| Strict-Transport-Security | 15 | verhindert, dass Besucher auf http:// zurückgeführt werden |
| Schutz vor Einbettung | 10 | verhindert, dass Ihre Seite in einem Rahmen versteckt wird, um Besucher unbemerkt klicken zu lassen |
| X-Content-Type-Options | 10 | verhindert, dass der Browser den Typ einer Datei errät |
| Referrer-Policy | 10 | begrenzt, was Ihre Adressen anderen Websites verraten |
| Permissions-Policy | 5 | sperrt den Zugriff auf Kamera, Mikrofon oder Standort |
| Cookies mit Secure und SameSite | 5 | verhindert, dass ein Cookie unverschlüsselt reist oder einer gefälschten Anfrage dient |
| Serverversion verborgen | 5 | öffnet keine Lücke, hilft aber bei der Suche nach einer |
Der Buchstabe folgt der Summe: A+ bei 100, A ab 90, B ab 75, C ab 60, D ab 45, E ab 30, F darunter.
Womit anfangen
Die einzeiligen Header (X-Content-Type-Options, Referrer-Policy, X-Frame-Options) sind in wenigen Minuten in der Server- oder Hoster-Konfiguration gesetzt, ohne Risiko für die Website. HSTS ebenso, sofern die ganze Website bereits über HTTPS läuft. Die CSP verlangt mehr Sorgfalt: Eine zu strenge Richtlinie bricht Skripte Dritter. Beginnen Sie im Berichtsmodus, sehen Sie nach, was sie blockiert hätte, und schalten Sie sie dann scharf.
Was dieses Werkzeug nicht tut
- Es testet keine Schwachstelle: Es liest die Header, die der Server an alle schickt, und sonst nichts.
- Es beurteilt nur eine Seite. Eine Website kann auf verschiedenen Seiten verschiedene Header senden, besonders zwischen Startseite und Kundenbereich.
- Es sagt nicht, ob die CSP für Ihre Website gut eingestellt ist: Es prüft, dass sie existiert und vor Skripten schützt, nicht dass sie die durchlässt, die Sie brauchen.
Häufige Fragen
Schadet eine schlechte Note meinem Ranking?
Nicht direkt: Nur HTTPS ist ein Rankingsignal, und ein schwaches. Die übrigen Header schützen Ihre Besucher, nicht Ihre Position. Eine gehackte Website aber wird aus den Ergebnissen entfernt oder als gefährlich markiert, und diese Header sind ein Teil dessen, was sie schützt.
Wie fügt man diese Header hinzu?
In der Serverkonfiguration (Apache, Nginx), im Dashboard eines Dienstes wie Cloudflare oder über ein Plugin bei WordPress. Bei den meisten Shared-Hostern genügt für die einfachen Header eine .htaccess-Datei.
Warum zeigt die Seite die Werte der Cookies nicht?
Weil diese Cookies für unseren Besuch gesetzt wurden und Ihnen nichts verraten würden. Für die Sicherheit zählen nur ihr Name und ihre Attribute (Secure, HttpOnly, SameSite), und nur diese behalten wir.
Zum Weiterlesen
HTTPS und SEO: was sich wirklich ändert Der Wechsel zu HTTPS ändert vier konkrete Dinge. Das Ranking ist das kleinste davon, und das, über das alle reden.Die anderen Werkzeuge
SSL-Zertifikat prüfen
Ablaufdatum des Zertifikats, Aussteller und die tatsächlich abgedeckten Namen.
SPF, DKIM und DMARC prüfen
SPF, DKIM und DMARC gelesen und bewertet, inklusive der Kette der zehn SPF-Abfragen, mit den Vorgaben von Gmail und Yahoo.
Kann meine Seite indexiert werden?
Noindex, robots.txt, Canonical, HTTP-Status: was Google und Bing an der Indexierung einer Seite hindert, für jede Suchmaschine einzeln.
Gewarnt werden, bevor das Zertifikat ausfällt
Expansel prüft das HTTPS-Zertifikat Ihrer Websites bei jedem Durchlauf und warnt Sie vor dem Ablauf, nicht an dem Tag, an dem der Browser Ihren Besuchern eine rote Warnung zeigt.