Security & HTTP Header Checker
Response-Header einfügen und gegen wichtige Security-Header prüfen.
So bekommst du sie: Terminal → curl -I https://deine-domain.de — oder DevTools → Netzwerk → Anfrage anklicken → „Antwortheader".
Alles läuft in deinem Browser. Deine Daten verlassen dieses Gerät nicht.
So funktioniert es
- Header abrufen: im Terminal mit curl -I https://deine-domain.de oder in den Entwicklerwerkzeugen unter Netzwerk.
- Header hier einfügen und auf „Header prüfen" klicken.
- Bewertung ansehen: gesetzt, fehlend oder gesetzt-aber-schwach.
- Fehlende Header in der Server- oder Theme-Konfiguration ergänzen.
Füge die rohen Response-Header einer Seite ein (z. B. via curl -I oder Browser-DevTools) und erhalte sofort eine Checkliste der wichtigsten Sicherheits-Header.
Geprüfte Header
Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy und Cross-Origin-Resource-Policy — plus ein Hinweis, falls Server-Details unnötig preisgegeben werden.
Häufige Fragen
Welcher Header ist am wichtigsten?
Strict-Transport-Security und Content-Security-Policy bringen den größten Sicherheitsgewinn. HSTS verhindert, dass ein Angreifer die Verbindung auf unverschlüsseltes HTTP herunterstuft. Eine CSP begrenzt, welche Skripte überhaupt laufen dürfen, und entschärft damit die häufigste Angriffsart auf Websites.
Warum wird mein gesetzter Header trotzdem bemängelt?
Weil Vorhandensein nicht Wirksamkeit bedeutet. Ein HSTS-Header ohne max-age hat keine Wirkung, und eine CSP mit unsafe-inline erlaubt genau die eingebetteten Skripte, gegen die sie schützen sollte. Das Tool prüft deshalb auch die Werte, nicht nur die Existenz.
Warum kann ich nicht einfach eine URL eingeben?
Ein Browser darf die Antwort-Header fremder Domains nicht auslesen — das unterbindet die Same-Origin-Policy. Ein URL-Feld würde also einen Server-Dienst voraussetzen. Über den Umweg per curl bleibt das Tool serverlos und funktioniert auch für interne Systeme hinter dem Login.
Ist eine Content-Security-Policy für WordPress realistisch?
Ja, aber sie braucht Vorbereitung. Viele Plugins und Page-Builder erzeugen eingebettete Skripte, weshalb eine strikte CSP ohne unsafe-inline oft erst nach Anpassungen funktioniert. Ein sinnvoller Einstieg ist der Report-Only-Modus, der Verstöße meldet, ohne etwas zu blockieren.
Weblabs übernimmt Entwicklung, SEO und Shop-Optimierung — für alles, was über ein Werkzeug hinausgeht.