Wichtige Sicherheits-Header prüfen

Entwickler und Administratoren setzen diese Prüfung vor einer Freigabe oder bei einem Audit ein, um fehlenden Browserschutz zu erkennen.

Überblicken Sie die HTTP-Schutzmaßnahmen einer Website und sehen Sie, welche wichtigen Sicherheits-Header fehlen oder strenger gesetzt werden sollten.

Bedienung

Geben Sie die Adresse der Website ein, die Sie testen möchten.
Starten Sie den Test, um eine HTTP-Header-Analyse anzufordern.
Warten Sie, während der Server des Werkzeugs das Ziel abfragt und die Antwort zurückgibt.
Prüfen Sie die Liste der vorhandenen oder fehlenden Schutzmaßnahmen.
Notieren Sie die Header, die vor Ihrer Produktionsfreigabe gestärkt werden müssen.

Beispiel

Ein Administrator bereitet den Start einer Website für ein kleines Unternehmen vor. Er führt das Audit auf der Testadresse aus und vergleicht die als fehlend markierten Header mit seiner Konfiguration. Diese Liste nutzt er, um Korrekturen vor dem öffentlichen Start zu planen.

Grenzen und Formate

Das Ergebnis hängt von der Antwort der Zielwebsite zum Zeitpunkt des Tests ab; eine Konfigurationsänderung kann das Audit verändern.
Das Werkzeug korrigiert keine Header: Es liefert eine Liste mit Punkten, die Sie selbst prüfen und konfigurieren müssen.
Einige Header können von einem CDN, Proxy oder Anwendungsserver hinzugefügt werden, nicht nur von der Anwendung.
Ein fehlender Header ist nicht immer eine ausnutzbare Schwachstelle, aber er verringert eine defensive Schutzmaßnahme.

Wo die Verarbeitung stattfindet

Dieses Netzwerktool sendet die eingegebene Domain, IP-Adresse oder URL an den Server des Werkzeugs. Dieser Server fragt dann öffentliches DNS oder die Zielwebsite ab und gibt das Ergebnis zurück. Es wird keine Datei gesendet.

Häufige Fragen

Warum fehlen einige Header?

Sie können fehlen, weil der Server, das CDN oder die Anwendung sie nicht hinzufügt. Eine unvollständige Konfiguration oder eine ältere Bereitstellungsvorlage erklärt oft die Lücke. Das Audit hilft Ihnen, diese Auslassungen zu erkennen, bevor Sie die Auslieferungskette korrigieren.

Kann ich eine Website testen, die mir nicht gehört?

Technisch gesehen fragt das Werkzeug eine von Ihnen eingegebene Adresse ab. Beschränken Sie sich bei einer Website, die Sie nicht verwalten, auf eine öffentliche Prüfung und respektieren Sie die Nutzungsbedingungen. Verwenden Sie das Ergebnis nicht, um eine Korrektur zu behaupten, die Sie nicht durchführen können.

Wie oft sollte ich das Audit ausführen?

Führen Sie es nach einer Änderung an Server, CDN, Framework oder Sicherheitskonfiguration erneut aus. Eine Prüfung vor jeder größeren Veröffentlichung ist sinnvoll. Dazwischen hilft regelmäßige Überwachung, eine Regression oder einen versehentlich entfernten Header zu erkennen.