Sicherheitsheader-Scan
Security Header Scan
Benotet die HSTS-, CSP-, Frame-, Referrer- und Permissions-Header einer Website und zeigt, was zu ergänzen ist.
Die meisten Header, die eine Website härten, kosten je eine Zeile Konfiguration und fehlen auf den meisten Websites, weil niemand nachgesehen hat. Dieses Werkzeug ruft eine URL ab und benotet, was zurückkam – HSTS, CSP, Framing, Referrer und Permissions-Policy – mit der Zeile, die für jeden fehlenden Header hinzuzufügen ist.
Unser Server stellt diese Anfrage für Sie. An ihn geht nur die URL, die Sie eingegeben haben – weder Ihre Cookies noch Ihr Anmeldestatus gehen mit. Der Server verbindet sich ausschließlich mit öffentlichen Adressen und verweigert private und interne.
So funktioniert es
Geben Sie die URL ein
Verwenden Sie die Adresse, die Menschen tatsächlich besuchen. Header unterscheiden sich häufig zwischen der Apex-Domain und `www`, und zwischen dem HTML-Dokument und statischen Assets, die eine andere Schicht ausliefert.
Beheben Sie zuerst Framing und Transport
`Strict-Transport-Security` und eine `frame-ancestors`-Direktive sind billig, haben keine Auswirkung auf die Darstellung und schließen zwei ganze Angriffsklassen. Fangen Sie dort an.
Nehmen Sie CSP getrennt in Angriff
Eine Content-Security-Policy muss gegen das gebaut werden, was Ihre Seiten laden, und nicht aus einem Bericht kopiert werden. Der CSP-Builder übernimmt diesen Teil.
Häufige Fragen
Ist eine gute Note eine sichere Website?
Nein. Sie bedeutet, dass eine Reihe von Antwort-Headern vorhanden ist. Sie sagt nichts über Authentifizierung, Injection-Schwachstellen, Zugriffskontrolle oder das, was hinter der URL läuft – die gesamte Substanz der Sicherheit einer Website liegt hier außer Sichtweite.
Meine Header sind gesetzt, werden aber nicht erkannt.
Prüfen Sie die Antwort, die tatsächlich benotet wird – eine Weiterleitung von `http` auf `https` oder von der Apex-Domain auf `www` kann das sein, was abgerufen wurde. Ein vorgeschaltetes CDN oder eine WAF kann Header auch entfernen oder hinzufügen, nachdem Ihr Origin-Server sie gesetzt hat.
Sollte ich HSTS-Preload aktivieren?
Nur, wenn jede Subdomain, heute und künftig, HTTPS ausliefern kann – Preload ist fest in Browser eingebaut, und die Entfernung dauert Monate. Betreiben Sie `max-age` zuerst mit einem kurzen Wert und erhöhen Sie ihn, sobald Sie sicher sind.
Eingabe aus
HTTP-Header prüfen
HTTP Header Inspector
Ruft eine URL ab und zeigt die vollständigen Antwort-Header, die Redirect-Kette, Zeiten und die verwendete Kompression.
SSL-Zertifikat prüfen
SSL Certificate Checker
Verbindet sich mit einem Host, zeigt die gelieferte Kette, das Ablaufdatum, Protokoll- und Cipher-Unterstützung und markiert Lücken in der Kette.
Subresource-Integrity-Hash
Subresource Integrity Hash
Berechnet das Subresource-Integrity-Attribut (sha256/384/512) für ein Skript oder Stylesheet, das Sie einfügen oder ablegen.
CSP-Builder
CSP Builder
Baut eine Content-Security-Policy aus einem geführten Formular oder aus einem Report und erklärt jede Direktive.
Danach
Diese Tools nehmen an, was dieses hier erzeugt, das Ergebnis kann also direkt weiter.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
CSP-Builder
CSP Builder
Baut eine Content-Security-Policy aus einem geführten Formular oder aus einem Report und erklärt jede Direktive.
HTTP-Header prüfen
HTTP Header Inspector
Ruft eine URL ab und zeigt die vollständigen Antwort-Header, die Redirect-Kette, Zeiten und die verwendete Kompression.
SSL-Zertifikat prüfen
SSL Certificate Checker
Verbindet sich mit einem Host, zeigt die gelieferte Kette, das Ablaufdatum, Protokoll- und Cipher-Unterstützung und markiert Lücken in der Kette.
CSV bereinigen
CSV Cleaner
Trimmt Zellen, normalisiert Kopfzeilen, korrigiert Zahlen- und Datumsformate und meldet Zeilen mit falscher Spaltenzahl.
CSV verknüpfen
CSV Join
Verknüpft zwei Tabellen über eine Schlüsselspalte als Inner, Left, Right oder Outer Join und zeigt die Zeilen ohne Treffer.