Kostenloser Security-Headers-Analyzer

Der Sicherheits-Header-Analysator ist ein kostenloses Online-Tool, das die Sicherheits-Header einer Website überprüft und Verbesserungsvorschläge liefert. Er läuft vollständig in deinem Browser, ohne Installation oder Anmeldung.

Ja, er ist völlig kostenlos und erfordert keine Registrierung.

Der Sicherheits-Header-Analysator prüft Content-Security-Policy, X-Frame-Options, HSTS, X-Content-Type-Options, Referrer-Policy und andere wichtige Sicherheits-Header.

Absolut. Der Sicherheits-Header-Analysator verarbeitet alles clientseitig in deinem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Deine Inhalte bleiben jederzeit privat auf deinem Gerät.

Ja, der Sicherheits-Header-Analysator ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Du kannst ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffne einfach den Sicherheits-Header-Analysator in deinem Browser und nutze ihn sofort. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Gib einfach deine Eingabe in das vorgesehene Feld ein, passe die Einstellungen nach deinen Wünschen an, und das Tool verarbeitet sie sofort. Anschließend kannst du das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der Sicherheits-Header-Analysator funktioniert in allen modernen Browsern, einschließlich Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwende die neueste Version deines bevorzugten Browsers.

Beide Header schränken ein, wie eine Seite genutzt werden kann, verteidigen aber gegen unterschiedliche Angriffe. Content-Security-Policy (CSP) legt fest, von wo eine Seite Ressourcen laden darf — Skripte, Stylesheets, Bilder, Schriften und Frames — und ist damit die stärkste Verteidigung gegen Cross-Site-Scripting (XSS) und Dateninjektion. X-Frame-Options ist enger gefasst: Es steuert nur, ob deine Seite in ein iframe eingebettet werden darf, und verhindert damit Clickjacking, bei dem ein Angreifer deine Website überlagert, um Nutzer zu Klicks zu verleiten. CSP kann X-Frame-Options über die Direktive frame-ancestors tatsächlich ersetzen (auf 'none' gesetzt, blockiert sie jede Einbettung), weshalb moderne Setups oft für beides auf CSP setzen. Dieser Analyzer erfasst beide Header, erklärt jeweils den Zweck und ordnet im Tab Reference die konkreten Angriffe zu, die sie verhindern, sodass du genau siehst, welcher Schutz dir fehlt.

Browser erzwingen eine Cross-Origin-Sicherheitsbeschränkung, die verhindert, dass JavaScript auf einer Website die rohen HTTP-Response-Header einer anderen Website ausliest. Da dieses Tool vollständig im Browser läuft, ohne Backend, kann es die Live-Header einer externen URL nicht abrufen und auswerten — das würde eine serverseitige Anfrage erfordern, um die Cross-Origin-Regel zu umgehen. Deshalb liefert der Analyzer eine simulierte, beispielhafte Bewertung statt eines echten Live-Scans. Score, Note und die Status Vorhanden/Warnung/Fehlend sind Beispiele, nicht deine reale Konfiguration. Der wirklich verlässliche Wert steckt an anderer Stelle: Die Header-Referenz, die Zuordnung von Angriffen zu Headern und die copy-paste-fertigen Serverkonfigurationen sind unabhängig vom Demo-Scan korrekt. Nutze die Demo, um dir einen Überblick zu verschaffen, und verlass dich für die Absicherung deiner echten Website auf die Tabs Reference und Server Configs.

Die Note wird nach Schweregrad gewichtet, statt jeden Header gleich zu zählen, sodass die wichtigsten Header auch das größte Gewicht haben. Kritische Header wie HSTS, CSP und X-Content-Type-Options sind jeweils 20 Punkte wert, Header mit hoher Priorität 15, mittlere 10 und niedrige 5. Ein vollständig vorhandener Header erhält sein volles Gewicht, ein teilweise konfigurierter die Hälfte, ein fehlender nichts; die Summe wird anschließend auf einen Prozentwert von 0–100 normalisiert. Grob gilt: ab 95 gibt es ein A+, ab 90 ein A, ab 75 ein B, ab 60 ein C, und alles unter 50 landet bei D oder F, mit mehreren Plus- und Minus-Abstufungen dazwischen. Die Zusammenfassung zeigt zudem, wie viele kritische Header fehlen, sodass ein einzelner fehlender HSTS- oder CSP-Eintrag unmöglich übersehen werden kann. Starte einen Scan, um die Gewichtung in Aktion zu sehen.

Der empfohlene Strict-Transport-Security-Wert lautet max-age=31536000; includeSubDomains; preload. HSTS zwingt Browser, ausschließlich über HTTPS zu verbinden, und verhindert so Protokoll-Downgrade- und Man-in-the-Middle-Angriffe, die eine anfängliche unsichere Anfrage ausnutzen. Das max-age wird in Sekunden angegeben, und 31536000 entspricht genau einem Jahr — ein langes Zeitfenster, damit der Browser HTTPS auch zwischen Besuchen konsequent erzwingt. includeSubDomains weitet diesen Schutz auf jede Subdomain aus, und preload signalisiert, dass die Domain in die fest in Browser eingebaute HSTS-Preload-Liste aufgenommen werden soll, sodass HTTPS sogar schon beim allerersten Besuch eines Nutzers erzwungen wird. Dieser Analyzer stuft HSTS als kritischen Header ein und liefert genau diesen Wert copy-paste-fertig. Du findest ihn im Tab Server Configs des Tools, der passende Nginx-, Apache-, Express- und Next.js-Snippets zum direkten Einfügen in deine Konfiguration generiert.

Sobald klar ist, welche Header fehlen, ist die Lösung eine Konfigurationsänderung, kein Code. Der Tab Server Configs dieses Tools generiert copy-paste-fertige Header-Snippets für vier gängige Stacks: Nginx mit add_header-Direktiven, Apache mit mod_headers, Express.js über die Helmet-Middleware und Next.js über die Funktion headers() in next.config.js. Jeder Block nutzt die empfohlenen Werte für jeden erfassten Header — zum Beispiel nosniff für X-Content-Type-Options und eine Start-Content-Security-Policy —, sodass du sie nicht selbst zusammenstellen musst. Kopiere den Block für deinen Stack, füge ihn in deine Server- oder App-Konfiguration ein und lade neu bzw. deploye erneut, damit die Header greifen. Prüfe nach dem Deployment mit dem Netzwerk-Panel deines Browsers oder einem serverseitigen Header-Checker, da der Scan dieses Analyzers selbst im Demo-Modus läuft. Öffne den Tab Server Configs, um das passende Snippet für deinen Stack zu kopieren.