Kostenloser HTTP-Header-Parser

Der HTTP Headers Parser ist ein kostenloses Online-Tool, das HTTP-Header aus Anfragen und Antworten analysiert und auswertet. Es läuft vollständig in Ihrem Browser, ohne Installation oder Anmeldung.

Ja, er ist völlig kostenlos und erfordert keine Registrierung. Die gesamte Analyse erfolgt clientseitig in Ihrem Browser.

Der HTTP Headers Parser zeigt den Namen und Wert jedes Headers an, zusammen mit Erläuterungen zu Sicherheitsauswirkungen, Caching-Verhalten und Content-Negotiation.

Absolut. Der HTTP Headers Parser verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten an einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der HTTP Headers Parser ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ganz ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den HTTP Headers Parser in Ihrem Browser und legen Sie sofort los. Es gibt keine Anmeldebarrieren und keine Nutzungsbeschränkungen.

Der HTTP Headers Parser unterstützt eine breite Palette beliebter Formate und Sprachen. Die vollständige Liste der unterstützten Optionen finden Sie in der Benutzeroberfläche des Tools.

Geben Sie einfach Ihre Eingabe in das vorgesehene Feld ein, passen Sie die Einstellungen nach Wunsch an, und das Tool verarbeitet sie sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der HTTP Headers Parser funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Der Parser prüft zehn gewichtete Sicherheits-Header und wandelt das Ergebnis in einen Score von 0-100 mit Buchstabennote um. Content-Security-Policy hat das größte Gewicht, gefolgt von Strict-Transport-Security, während Schutzmaßnahmen gegen Clickjacking und MIME-Sniffing wie X-Frame-Options und X-Content-Type-Options knapp dahinter liegen. Jeder Header wird als bestanden, Warnung oder fehlend eingestuft: Ein vorhandener, gut konfigurierter Header bringt volle Punktzahl, ein schwacher Wert teilweise Punkte, ein fehlender Header keine. Die Gesamtpunktzahl ergibt eine Note, wobei 90 und mehr A+ entspricht, 80 einem A, 70 einem B, 60 einem C, 50 einem D, und alles darunter einem F. Das entspricht der Bewertungslogik gängiger Branchentools, läuft aber komplett in Ihrem Browser. Fügen Sie oben Ihre Response-Header ein, um Score, Note und die einzelnen Prüfergebnisse zu sehen.

Request-Header werden vom Browser oder Client an den Server gesendet und beschreiben die Anfrage selbst: wer anfragt, welche Inhalte akzeptiert werden und in welchem Kontext. Beispiele sind Host, User-Agent, Accept, Authorization und die Sec-Fetch-Familie. Response-Header werden vom Server zurückgesendet und beschreiben die Antwort sowie deren Behandlung durch den Client, etwa Content-Type, Cache-Control, Set-Cookie und Sicherheits-Header wie Content-Security-Policy und Strict-Transport-Security. Manche Header, etwa Content-Type, kommen in beiden Richtungen vor, mit leicht unterschiedlicher Bedeutung. Der Unterschied ist wichtig, weil Sicherheits-Score und Prüfung fehlender Header nur auf Responses angewendet werden, während die Analyse von Requests dem Debugging dient, was der Client gesendet hat. Mit diesem Tool wechseln Sie zwischen Request- und Response-Modus, damit Kategorisierung und Warnungen exakt zu dem passen, was Sie gerade analysieren. Fügen Sie Ihren Block oben ein und wählen Sie den passenden Modus.

Der Parser prüft jeden Set-Cookie-Wert und warnt, wenn schützende Attribute fehlen. Ein Cookie ohne HttpOnly kann von JavaScript ausgelesen werden, was es anfällig für Diebstahl durch Cross-Site-Scripting macht; ohne Secure kann es über unverschlüsseltes HTTP übertragen werden; und ohne SameSite ist es anfälliger für Cross-Site-Request-Forgery. Session- und Authentifizierungs-Cookies sollten so gut wie immer alle drei Attribute tragen, zum Beispiel HttpOnly; Secure; SameSite=Strict. Die Warnung ist ein Hinweis, kein Fehler, da einige Cookies berechtigterweise per Skript lesbar sein müssen — aber für alles, was mit Login oder Identität zu tun hat, gelten diese Flags als Best Practice. Das Tool zeigt diese Probleme direkt beim Parsen an, sodass Sie den Header vor dem Go-live korrigieren können. Fügen Sie Ihre Set-Cookie-Zeile oben ein, um zu sehen, welche Attribute vorhanden sind und welche empfohlen werden.

Der weithin akzeptierte Standardwert ist max-age=31536000; includeSubDomains, der Browsern mitteilt, für die Domain und alle ihre Subdomains ein volles Jahr lang (31.536.000 Sekunden) ausschließlich HTTPS zu verwenden. Ergänzt man preload, wird die Domain für die Browser-Preload-Liste qualifiziert, die HTTPS fest verankert, sodass auch der allererste Besuch geschützt ist. Der Parser vergibt für HSTS nur dann die volle Punktzahl, wenn max-age mindestens ein Jahr beträgt und includeSubDomains gesetzt ist; ein kürzerer max-age-Wert erhält eine Warnung, ein fehlender Header fällt durch. Seien Sie vorsichtig mit includeSubDomains und preload, da sie für alle Subdomains gelten und sich nur schwer rückgängig machen lassen — stellen Sie also zuerst sicher, dass alle Subdomains HTTPS unterstützen. Das Tool liefert einen kopierbereiten empfohlenen Wert und zeigt an, ob Ihr aktueller Header preload-tauglich ist. Fügen Sie Ihre Header oben ein, um es zu prüfen.

Eine Content-Security-Policy legt fest, von wo aus Skripte, Styles und andere Ressourcen geladen werden dürfen, und zählt damit zu den stärksten Schutzmaßnahmen gegen Cross-Site-Scripting. Die Schlüsselwörter 'unsafe-inline' und 'unsafe-eval' reißen Löcher in diesen Schutz: 'unsafe-inline' erlaubt Inline-Skripte und -Styles direkt in der Seite, und 'unsafe-eval' erlaubt eval-artige Ausführung von Strings als Code — beides können Angreifer ausnutzen. Weil dies den Schutz schwächt, zählt der Parser eine CSP mit diesen Schlüsselwörtern zwar weiterhin als vorhanden, stuft sie aber nur als Warnung statt als vollen Erfolg ein. Das stärkere Muster besteht darin, diese Schlüsselwörter zu entfernen und nur vertrauenswürdige Quellen zuzulassen, häufig mit Nonces oder Hashes für tatsächlich benötigten Inline-Code. Das Tool erkennt diese Schlüsselwörter beim Parsen und erklärt die Auswirkungen. Fügen Sie Ihren CSP-Header oben ein, um zu sehen, ob er sauber durchgeht oder eine Warnung auslöst.