Security-Header: Welche eine Website senden sollte
Jede Website sollte http auf https umleiten und mindestens Strict-Transport-Security, eine Content-Security-Policy, X-Content-Type-Options: nosniff, einen Schutz vor Einbetten (frame-ancestors oder X-Frame-Options) und eine Referrer-Policy senden. OWASP und MDN empfehlen diese Header; sie werden in der Serverkonfiguration gesetzt und kosten praktisch keine Ladezeit.
So vergeben wir die Punkte
| Prüfpunkt | Punkte |
|---|---|
| http:// leitet direkt auf https:// weiter | 15 |
| Strict-Transport-Security mit max-age ≥ 6 Monate und includeSubDomains | 20 |
| Content-Security-Policy, die Inline-Skripte nicht pauschal erlaubt | 20 |
| X-Content-Type-Options: nosniff | 10 |
| Schutz vor Clickjacking (X-Frame-Options oder frame-ancestors) | 10 |
| Referrer-Policy gesetzt | 10 |
| Permissions-Policy gesetzt | 5 |
| Keine Software-Versionen in Server, X-Powered-By, X-AspNet-Version | 10 |
Noten: A+ ab 95, A ab 85, B ab 70, C ab 55, D ab 40, darunter F. Teilpunkte: HSTS kürzer als sechs Monate 8, ohne includeSubDomains 15; CSP mit wirksamem 'unsafe-inline' 10, ohne Skript-Regeln 8, nur Report-Only 5; https-Weiterleitung über Umweg 10; schwache Referrer-Policy 3; je verratener Software-Version minus 5. Ohne funktionierendes HTTPS oder mit ungültigem Zertifikat: F.
Ein solider Ausgangspunkt
Strict-Transport-Security: max-age=31536000; includeSubDomains Content-Security-Policy: default-src 'self'; frame-ancestors 'self' X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=()
Die Content-Security-Policy vor dem Scharfschalten an Ihre Seite anpassen: Jeder externe Dienst (Schriften, Karten, Videos, Statistik) muss ausdrücklich erlaubt werden. includeSubDomains nur setzen, wenn jede Subdomain über HTTPS funktioniert.
Häufige Fragen zum Security-Header-Check
Was sind Security-Header?
HTTP-Antwort-Header, mit denen eine Website dem Browser sagt, wie er Besucher schützen soll: die Seite nur über HTTPS laden (HSTS), Skripte nur aus erlaubten Quellen ausführen (Content-Security-Policy), das Einbetten durch fremde Seiten verweigern (X-Frame-Options oder frame-ancestors) und ähnliche Regeln. Sie kosten praktisch keine Ladezeit und werden in der Server- oder Hosting-Konfiguration gesetzt.
Wie wird die Note berechnet?
Jeder Header bringt Punkte laut der Tabelle auf dieser Seite, insgesamt 100. A+ ab 95 Punkten, A ab 85, B ab 70, C ab 55, D ab 40, darunter F. Ohne funktionierendes HTTPS oder mit abgelaufenem, nicht vertrauenswürdigem oder falschem Zertifikat ist die Note unabhängig von den Punkten F.
Heißt eine gute Note, dass meine Website sicher ist?
Nein. Der Check sieht sich die Header der Startseite und das Zertifikat an. Veraltete Plugins, schwache Passwörter oder ein verwundbarer Server sind von außen so nicht sichtbar. Die Header sind eine Schutzschicht unter mehreren.
Kann eine Content-Security-Policy meine Website kaputt machen?
Ja, wenn sie zu streng ist: Karten, Videos, Tracking oder Chat-Tools laden dann nicht mehr. Starten Sie mit Content-Security-Policy-Report-Only, lesen Sie die gemeldeten Verstöße und schalten Sie die Policy erst danach scharf.
Was ruft der Check ab?
Die Startseite einmal über https:// und einmal über http://, samt Weiterleitungen, dazu ein TLS-Handshake auf Port 443, um das Zertifikat zu lesen. Andere Seiten werden nicht abgefragt, Angriffe nicht ausprobiert. In unserem Tool-Protokoll speichern wir die geprüfte Adresse und das Ergebnis, nie Ihre IP-Adresse.