Security Header Check
Prüft wichtige HTTP Security Header einer URL: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy und weitere.
- HSTS / Strict-Transport-Security
- Content-Security-Policy (CSP)
- X-Frame-Options
- Referrer-Policy
- Permissions-Policy
- X-Content-Type-Options
- Cross-Origin-* Header
| Header | Status | Bewertung | Wert / Hinweis |
|---|---|---|---|
| — | |||
Was prüft ein Security Header Check?
Ein Security Header Check prüft, welche sicherheitsrelevanten HTTP-Header eine Website ausliefert. Dazu gehören Header für HTTPS-Erzwingung, Clickjacking-Schutz, MIME-Sniffing-Schutz, Referrer-Kontrolle und Browser-Richtlinien für externe Ressourcen.
Warum ist das relevant?
Security Header sind kein klassischer Rankingfaktor wie Content oder interne Verlinkung, aber sie sind wichtig für technische Qualität, Sicherheit, Vertrauen und saubere Produktionsumgebungen. Besonders bei Relaunches, Reverse Proxies, CDNs und Hosting-Wechseln gehen Header gerne verloren oder werden versehentlich überschrieben.
Typische Probleme
- kein HSTS trotz sauberem HTTPS-Setup
- fehlende CSP oder zu lockere Richtlinien
- X-Frame-Options fehlt und Seiten sind ungewollt einbettbar
- Referrer-Policy fehlt oder ist uneinheitlich
- X-Content-Type-Options fehlt
- Header unterscheiden sich je nach Variante, Proxy oder Umgebung
FAQ
Ist ein Security Header Check eher für SEO oder Security?
Primär für technische Qualität und Security-Härtung. Für SEO ist das vor allem im QA-, Relaunch- und Infrastruktur-Kontext sinnvoll.
Reicht HSTS alleine aus?
Nein. HSTS ist nur ein Teil. Je nach Anwendung sind zusätzlich CSP, X-Frame-Options, Referrer-Policy und weitere Header relevant.
Ist eine fehlende CSP immer kritisch?
Nicht automatisch, aber es ist oft ein Hinweis auf fehlende Härtung. Eine gute CSP braucht meist bewusstes Testen und Rollout.
Warum fehlen Header manchmal trotz Server-Konfiguration?
Häufige Ursachen sind CDN, Reverse Proxy, Webserver-Regeln, Middleware, Staging-Konfigurationen oder unterschiedliche vHosts.