Schützt deine Website ihre Besucher?
Ein Abruf deiner Startseite zeigt, ob HTTPS und Zertifikat in Ordnung sind, welche Sicherheits-Header fehlen, welche falsch gesetzt sind und was dein Server unnötig verrät. Zu jedem Befund gibt es die fertige Header-Zeile.
Was sind Security-Header?
Mit jeder Antwort schickt dein Webserver Kopfzeilen mit. Einige davon sagen dem Browser, was er auf deiner Seite zulassen darf: nur verschlüsselte Verbindungen (HSTS), nur Skripte aus bekannten Quellen (Content-Security-Policy), kein Einbetten in fremde Seiten (X-Frame-Options).
Fehlt ein Header, greift der Browser auf seine Voreinstellung zurück, und die ist aus Rücksicht auf alte Seiten meist großzügig. Ein falsch gesetzter Header ist oft schlimmer als ein fehlender, weil er Schutz vortäuscht.
bytereport ruft deine Startseite ab, bewertet die Header in vier Kategorien und gewichtet sie nach dem Schaden, den eine Lücke erlaubt. Dazu schauen wir nach einer security.txt, die sagt, wohin jemand eine gefundene Lücke melden kann. Zu jedem Befund bekommst du die Zeile zum Kopieren.