Kostenloser HTTP-Header-Prüfer

Der HTTP-Header-Prüfer ist ein kostenloses Online-Tool, das die HTTP-Antwort-Header einer beliebigen URL anzeigt, nützlich für Debugging und Sicherheitsanalysen.

Ja, er ist völlig kostenlos und erfordert keine Registrierung.

HTTP-Header offenbaren den Servertyp, Caching-Richtlinien, Sicherheitskonfigurationen, die Inhaltskodierung und weitere wichtige technische Details über eine Website.

Absolut. Der HTTP-Header-Prüfer verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der HTTP-Header-Prüfer ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne eine App herunterladen zu müssen.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den HTTP-Header-Prüfer in Ihrem Browser und legen Sie sofort los. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Geben Sie einfach Ihre Eingabe in das vorgesehene Feld ein, passen Sie die Einstellungen nach Ihren Wünschen an, und das Tool verarbeitet sie sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der HTTP-Header-Prüfer funktioniert in allen modernen Browsern, einschließlich Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Der Checker bewertet sieben Response-Header auf einer 100-Punkte-Skala und bildet die Gesamtpunktzahl anschließend auf eine Buchstabennote von A+ bis F ab. Die beiden schwergewichtigsten sind Strict-Transport-Security und Content-Security-Policy, jeweils bis zu 25 Punkte wert, da sie Protokoll-Downgrades und Cross-Site-Scripting verhindern. X-Frame-Options bringt 15 Punkte für den Clickjacking-Schutz, während X-Content-Type-Options, Referrer-Policy und Permissions-Policy jeweils 10 beisteuern. Der veraltete X-XSS-Protection-Header ist symbolische 5 Punkte wert. Eine Website ohne CSP und HSTS verliert dadurch sofort die Hälfte der möglichen Punktzahl, weshalb sich diese beiden Header zuerst zu beheben lohnen. Geben Sie eine Domain ein, und der Security-Tab zeigt Ihre Note sowie genau, welche Header vorhanden, fehlend oder schwach konfiguriert sind.

Sie schützen vor völlig unterschiedlichen Angriffen. Strict-Transport-Security (HSTS) weist den Browser an, für eine Domain immer HTTPS zu verwenden, und blockiert damit Downgrade-Angriffe und SSL-Stripping; ein starker Wert ist max-age=31536000; includeSubDomains; preload, also ein Jahr, alle Subdomains und die Eignung für die Preload-Liste des Browsers. Content-Security-Policy (CSP) kontrolliert dagegen, von wo Ressourcen geladen werden dürfen — welchen Skript-, Style-, Bild- und Font-Quellen die Seite vertraut — und ist eine der stärksten Verteidigungen gegen Cross-Site-Scripting und Injection. HSTS härtet die Verbindung, CSP härtet den Seiteninhalt. Eine gut abgesicherte Website setzt in der Regel beide, und beide tragen mit vollen 25 Punkten zur Bewertung bei. Dieses Tool zerlegt Ihre CSP in einzelne Direktiven und markiert Wildcards oder unsafe-inline-Werte — geben Sie also eine Domain ein, um zu sehen, wie jede einzelne konfiguriert ist.

Cache-Control ist eine durch Kommas getrennte Liste von Direktiven, die festlegen, wer eine Antwort speichern darf und für wie lange. Das Wort public bedeutet, dass jeder Cache, einschließlich eines CDN, sie speichern darf, während private die Speicherung auf den Browser des Nutzers beschränkt. Der max-age-Wert ist eine Lebensdauer in Sekunden, sodass max-age=86400 einen Tag bedeutet. Direktiven wie no-store verbieten Caching vollständig, und no-cache erlaubt zwar die Speicherung, erzwingt aber eine Revalidierung vor der Wiederverwendung. Lange Lebensdauern bei statischen Assets beschleunigen wiederholte Besuche und entlasten den Ursprungsserver, während HTML meist kurze oder no-cache-Werte trägt, damit Aktualisierungen schnell sichtbar werden. Der Caching-Tab dieses Tools übersetzt das in verständliche Sprache — public versus private, die max-age und ob die Antwort überhaupt zwischenspeicherbar ist —, geben Sie also eine Domain ein, um die Richtlinie erklärt zu bekommen, ohne die Rohzeichenkette selbst analysieren zu müssen.

Browser setzen die Same-Origin-Policy durch, die JavaScript auf einer Domain daran hindert, die Rohantworten einer anderen Domain zu lesen, sofern dieser Server nicht ausdrücklich mit CORS-Headern zustimmt. Das ist eine bewusste Sicherheitsgrenze: Ohne sie könnte jede besuchte Seite heimlich Ihre eingeloggten Sitzungen auf anderen Websites ausspähen. Wegen dieser Einschränkung kann ein rein im Browser laufendes Tool keine Live-Header einer beliebigen Drittanbieter-Domain abrufen. Dieser Checker ist als Lern- und Demonstrationstool konzipiert — er erzeugt repräsentative, realistische Header-Sets für die eingegebene Domain, damit Sie genau sehen können, wie Bewertung, CSP-Parsing und Caching-Aufschlüsselung funktionieren. Um die echten Header eines Live-Servers zu untersuchen, führen Sie curl -I https://example.com in einem Terminal aus, oder öffnen Sie die DevTools, wechseln Sie zum Network-Tab, laden Sie neu und klicken Sie auf die Dokumentanfrage. Nutzen Sie das Tool zunächst, um zu lernen, wie gute Konfigurationen aussehen.

Diese beiden kurzen Header verhindern zwei häufige browserseitige Angriffe. X-Frame-Options kontrolliert, ob Ihre Seiten von einer anderen Website in einem iFrame eingebettet werden können; der Wert DENY blockiert jegliche Einbettung, SAMEORIGIN erlaubt sie nur für die eigene Domain, was Clickjacking verhindert — dabei legt ein Angreifer Ihre Seite unsichtbar über seine eigene, um Nutzer zum Klicken auf versteckte Elemente zu verleiten. X-Content-Type-Options hat einen einzigen nützlichen Wert, nosniff, der den Browser anweist, dem vom Server deklarierten Content-Type zu vertrauen, anstatt ihn aus den Bytes zu erraten — das verhindert MIME-Sniffing-Angriffe, bei denen eine als Bild hochgeladene Datei als Skript ausgeführt wird. Beide sind schnelle Erfolge und in der Sicherheitsbewertung dieses Tools 15 beziehungsweise 10 Punkte wert. Geben Sie eine Domain ein, und der Security-Tab zeigt, ob jeder Header vorhanden und korrekt gesetzt ist, zusammen mit dem Rest der Header-Analyse.