Security-Header Ihrer Website prüfen

Was die geprüften Header bewirken

Strict-Transport-Security (HSTS)

Weist den Browser an, die Seite nur noch verschlüsselt über HTTPS aufzurufen. OWASP empfiehlt max-age=63072000; includeSubDomains; preload – vorher prüfen, ob wirklich alle Subdomains HTTPS können.

Content-Security-Policy (CSP)

Legt fest, von wo Skripte, Bilder und andere Inhalte geladen werden dürfen. Erschwert Cross-Site-Scripting, ist aber aufwendig einzurichten.

Clickjacking-Schutz

CSP frame-ancestors oder X-Frame-Options: DENY verhindern, dass fremde Seiten Ihre Seite unsichtbar einbetten und Klicks umleiten.

X-Content-Type-Options

nosniff verbietet dem Browser, Dateitypen zu erraten – sonst kann eine harmlos wirkende Datei als Skript ausgeführt werden.

Referrer-Policy

Steuert, welche Adresse beim Klick auf einen externen Link mitgeschickt wird. Empfohlen: strict-origin-when-cross-origin.

Permissions-Policy

Schaltet Browserfunktionen wie Kamera, Mikrofon oder Standort ab, die die Seite nicht braucht.

X-XSS-Protection

Veralteter Filter, der selbst Lücken öffnen kann. OWASP empfiehlt, ihn wegzulassen oder auf 0 zu setzen.

Server und X-Powered-By

Verraten oft Software und Version. Besser entfernen bzw. ohne Versionsnummer ausliefern.

Quelle der Empfehlungen: OWASP HTTP Headers Cheat Sheet.