Security Headers: HTTP-Sicherheitsheader prüfen

So verwenden Sie das Werkzeug

Öffentliche URL eingeben. Die Header der letzten Antwort und die Weiterleitungen prüfen.

Prüfverfahren

Die Prüfung folgt erlaubten Weiterleitungen und liest die Header der letzten Antwort. Sie zeigt empfangene Werte, ohne die Website-Richtlinie im Browser durchzusetzen.

Ergebnis verstehen

Bewerten Sie die Werte der Header, nicht nur deren Vorhandensein. Eine Report-only-CSP meldet Verstöße ohne Blockierung; HSTS erfordert HTTPS und einen positiven max-age-Wert.

Beispiel

Beispiel mit Testdaten: Tatsächliche Antworten können sich ändern.

Grenzen und Datenverarbeitung

Ein vorhandener Header zertifiziert keine Sicherheit. CSP muss zu den Ressourcen passen; frame-ancestors kann X-Frame-Options ersetzen. Eine Antwort und höchstens vier Schritte werden beobachtet.

Die Eingaben werden zur Prüfung an den Server gesendet. Es werden keine Anmeldedaten an die Zielseite übertragen.

Die Ergebnisse gelten zum Prüfzeitpunkt.

Quellen

• MDN HTTP headers