HTTP-Header-Checker

Fragt eine URL ab, wie ein echter Besucher sie sehen würde: Status, Header, Redirect-Kette, TLS-Zertifikat und Antwortzeiten — aus Sicht dieses Servers, also außerhalb Ihres lokalen Netzes.

Von außen geprüft TLS-Zertifikat Redirect-Kette Antwortzeiten

HTTP/1.0 – 3 Header-Glossar Timing-Wasserfall SSRF-sicher

Prüfung starten

URL eingeben

Zu prüfende Adresse

Beispiel

Nur öffentliche Adressen über http(s), Port 80/443. Bis zu 5 Weiterleitungen werden mitgeprüft.

Auflösung & SSRF-Schutz — Die IP wird geprüft und für die Anfrage festgenagelt.
Maximal 5 Weiterleitungen — Jeder Sprung wird einzeln validiert und gezählt.
512 Header-Zeilen — Mehr Header werden aus Sicherheitsgründen gekürzt.

Noch keine Prüfung

Geben Sie links eine Adresse ein oder wählen Sie ein Beispiel — die Antwort erscheint hier mit Status, Header-Gruppen, Zeitverlauf, Redirect-Kette und Zertifikat.

Antwort-Header

Nach Themen gruppiert, mit Kurzbeschreibung bekannter Namen.
Zeitverlauf

DNS, Verbindung, TLS, Wartezeit und Übertragung im Wasserfall.
Redirects & TLS

Jede Weiterleitung einzeln, dazu das Zertifikat mit Restlaufzeit.

Nachschlagen

Was die wichtigsten Header bedeuten

Die Kurzfassung für den Alltag — jeweils mit typischem Wert. Die vollständige Prüfung übernimmt der Security-Header-Scanner.

Strict-Transport-Security

Weist den Browser an, die Domain für diese Laufzeit ausschließlich über HTTPS aufzurufen. Wirkt nur über HTTPS und ist die Grundlage für den Schutz vor SSL-Stripping.

max-age=31536000; includeSubDomains

Content-Security-Policy

Erlaubt dem Server, Quellen für Skripte, Styles, Bilder und Frames festzulegen. Eine saubere CSP ist der wirksamste Schutz gegen eingeschleuste Skripte (XSS).

default-src 'self'; object-src 'none'

Cache-Control

Bestimmt, ob und wie lange eine Antwort zwischengespeichert werden darf. Mit no-store landen sensible Antworten nie auf der Platte, mit immutable spart der Browser erneute Prüfungen.

public, max-age=3600, stale-while-revalidate=60

ETag

Eindeutige Kennung der Antwortversion. Der Browser fragt damit bedingt an (If-None-Match) und erhält bei unverändertem Inhalt nur ein kurzes 304 statt des ganzen Bodys.

W/"2f8a-1729184400"

Content-Encoding

Sagt, mit welchem Verfahren der Body komprimiert wurde. Brotli (br) komprimiert besser als gzip und wird von allen aktuellen Browsern verstanden.

Content-Type

Medientyp plus Zeichensatz des Bodys. Fehlt der Zeichensatz bei Text, raten Browser — mit charset=utf-8 vermeiden Sie kaputte Umlaute.

text/html; charset=utf-8

Set-Cookie

Setzt ein Cookie im Browser. Entscheidend sind die Attribute: Secure (nur über HTTPS), HttpOnly (kein Zugriff aus JavaScript) und SameSite (Schutz vor CSRF).

sid=abc123; Secure; HttpOnly; SameSite=Lax

Access-Control-Allow-Origin

Erlaubt fremden Ursprüngen, die Antwort per JavaScript zu lesen. Wildcard * und Zugangsdaten schließen sich aus — für APIs ist eine feste Origin-Liste die sauberere Wahl.

https://app.example

Referrer-Policy

Bestimmt, welche Teile der Herkunfts-URL beim Klick auf fremde Seiten mitgeschickt werden. strict-origin-when-cross-origin ist ein guter Standardwert.

strict-origin-when-cross-origin

X-Content-Type-Options

Mit dem Wert nosniff verbietet der Header das Erraten des Medientyps. Ohne ihn führen manche Browser harmlose Uploads als Skript aus.

nosniff

Server-Timing

Überträgt Messwerte des Servers in die Entwicklerwerkzeuge des Browsers — etwa Datenbankzeit oder Cache-Treffer, ohne dafür Logs zu öffnen.

db;dur=53, cache;desc="Hit"

Vary

Sagt Zwischenspeichern, welche Request-Header die Antwort verändern. Fehlt Accept-Encoding, kann ein Cache komprimierte und unkomprimierte Antworten verwechseln.

Accept-Encoding, Accept-Language

Server / X-Powered-By

Verraten eingesetzte Software samt Version. Beides kostet nichts, gehört aber nicht in die Öffentlichkeit: Angreifer suchen gezielt nach bekannten Versionslücken.

Server: nginx → besser: ohne Versionsnummer

Der Checker zeigt die Antwort so, wie dieser Server sie empfängt. Er ersetzt keinen vollständigen Sicherheitstest: Ob eine Content-Security-Policy fachlich zu Ihrer Anwendung passt und ob HSTS gefahrlos aktivierbar ist, entscheidet die Prüfung in einer Staging-Umgebung.

Webmaster-Tools

Alle Werkzeuge

Security-Header-Scanner

Bewertet HTTPS, HSTS, CSP und Cookie-Attribute — mit konkreten Empfehlungen.

Statuscode-Lexikon

Schlägt HTTP-Statuscodes von 1xx bis 5xx nach — mit RFC-Referenz.

CSP-Helfer

Baut eine valide Content-Security-Policy — als HTTP-Header und Meta-Tag.

MrWeb24 · Uptime-Monitoring

Prüfen ist gut — überwacht werden ist besser.

MrWeb24 prüft Ihre Webseiten zusätzlich jede Minute von außen und meldet sich, wenn etwas ausfällt — mit Alarm per E-Mail, Discord, Slack oder Webhook, Verlauf und eigener öffentlicher Statusseite.

Kostenloses Konto erstellen Häufige Fragen

10 Monitore inklusive · Keine Kreditkarte · Keine Installation