Security

HTTP-Header

Response-Header anzeigen und Security-Policies prüfen.

URL http or https (default https). Up to 3 redirects are followed.

Try: github.com cloudflare.com example.com mozilla.org

Über dieses Tool

Der HTTP Headers Inspector zeigt alle Request- und Response-Header einer Webseite oder API-URL. Wir senden einen HTTP-Request von unserem Frankfurter Server (mit Wahl der Methode: GET, HEAD, POST), folgen optional Redirects, und liefern die vollständige Antwort-Header-Liste — geordnet, kommentiert und in mehreren Standard-Headern interpretiert.

Über die reine Anzeige hinaus liefert das Tool eine Bewertung: Cache-Control und Expires werden ausgewertet (wie lange wird die Antwort wo gecacht?), Security-Header werden geprüft (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), und die Server-Stack-Identifizierung kommt aus den üblichen verdächtigen Headern (Server, X-Powered-By, X-AspNet-Version, X-Drupal-Cache, etc.).

Wann Sie dieses Tool nutzen sollten

Caching-Probleme debuggen. Warum wird diese Antwort 30 Minuten gecacht, obwohl sie dynamisch sein sollte?
CORS-Konfiguration prüfen. Sind die richtigen Access-Control-Allow-*-Header gesetzt?
Security-Audit. Schickt Ihre Seite alle modernen Security-Header?
CDN-Verhalten verifizieren. Welcher Edge bedient Sie, was sagt CF-Cache-Status?

Best-Practice-Header für Production

Eine seriöse Produktivseite setzt mindestens: Strict-Transport-Security (HSTS, mit ausreichender max-age), Content-Security-Policy (CSP, restriktiv konfiguriert), X-Content-Type-Options: nosniff, X-Frame-Options: DENY oder SAMEORIGIN (oder besser CSP frame-ancestors), Referrer-Policy: strict-origin-when-cross-origin. Permissions-Policy ist Sahnehaube. Eine fehlende dieser Header ist kein akuter Bug, aber ein Defense-in-Depth-Versäumnis.

Häufige Fragen

Was ist der Unterschied zwischen Request- und Response-Headern?

Request-Header sendet der Client an den Server (User-Agent, Accept, Cookie, Authorization). Response-Header sendet der Server zurück (Content-Type, Set-Cookie, Cache-Control, Server). Unser Tool zeigt primär Response-Header (denn die kontrolliert der Server-Betreiber) und einen Auszug der gesendeten Request-Header, damit Sie die volle Konversation sehen.

Was ist HSTS und warum ist es wichtig?

HTTP Strict Transport Security weist den Browser an, eine Domain nur noch über HTTPS aufzurufen, auch wenn der Nutzer http:// eingibt. Das schützt vor SSL-Stripping-Angriffen und versehentlichen Klartext-Verbindungen. Ein produktiver HSTS-Header sollte max-age ≥ 6 Monate, includeSubDomains und (optional, mit Preload-Liste) preload enthalten.

Warum sehe ich keinen Server-Header?

Manche Sites entfernen den Server-Header bewusst (Security through obscurity). Andere zeigen nur "nginx" ohne Version, was Best Practice ist — die Version verrät potenzielle Angriffsoberfläche. Cloudflare und Akamai setzen oft eigene Server: cloudflare-Werte, die nur den CDN, nicht den Origin verraten.

Folgt das Tool Redirects?

Optional. Standardmäßig zeigen wir die Header der ersten Antwort, inklusive 3xx-Statuscodes. Mit aktivierter "Follow Redirects"-Option folgen wir bis zu 10 Sprüngen und zeigen die Header jedes Hops separat — gut zur Diagnose komplexer Weiterleitungsketten (www → apex → CDN → app).