Security-Header-Scanner
Geben Sie eine Webadresse ein. Unser Server ruft die Seite einmal ab, und Ihr Browser bewertet ihre Security-Header, Cookies und TLS-Konfiguration – mit einer Lösung für jeden Befund.
Unser Server ruft die eingegebene Adresse einmal ab und gibt ihre Header und Zertifikatsdaten zurück. Nichts wird gespeichert.
So funktioniert der Scan
Unser Server ruft die Adresse einmal so ab, wie es ein Browser tun würde, und folgt bis zu fünf Weiterleitungen. Er prüft nur öffentliche Websites auf den Standardports und lehnt private, lokale und reservierte Adressen ab, auch wenn sie über eine Weiterleitung erreicht werden. Er gibt die Antwort-Header und die TLS-Details zurück; die Bewertung übernimmt Ihr Browser.
Die Bewertung umfasst Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, den Schutz vor Framing, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy und die Weiterleitung von http auf https. Außerdem weist der Scanner auf Versionsnummern in Headern, Cookies ohne Secure, veraltete Header, alte TLS-Versionen und Zertifikatsprobleme hin.
So wird die Bewertung berechnet
Die Prüfungen sind zusammen 100 Punkte wert, mit Abzügen für preisgegebene Informationen, unsichere Cookies sowie Schwächen bei Zertifikat oder TLS. Ab 85 Punkten gibt es ein A; für A+ braucht es zusätzlich HSTS mit includeSubDomains, eine CSP ohne Schwächen und keine Warnungen. Ohne HTTPS oder mit einem Zertifikat, das Browser ablehnen, lautet die Bewertung F. Die Aufschlüsselung unter jedem Ergebnis zeigt, woher jeder Punkt stammt.
Häufige Fragen
Was macht Ihr Server mit der eingegebenen Adresse?
Er ruft die Seite einmal ab, liest Antwort-Header und Zertifikat und sendet sie an Ihren Browser zurück. Nichts wird gespeichert, und der Scanner gibt sich im User-Agent-Header als AngelForceScanner zu erkennen.
Kann ich eine interne Website oder eine Staging-Umgebung scannen?
Nur wenn sie aus dem Internet über die Standardports erreichbar ist. Der Scanner lehnt private, lokale und reservierte Adressen ab, damit er nicht zum Ausspähen interner Netzwerke missbraucht werden kann.
Warum ist die Zahl der Scans begrenzt?
Jeder Scan sendet echte Anfragen an die Zielwebsite. Deshalb erlauben wir pro Verbindung sechs Scans in zehn Minuten, um den Dienst fair zu halten und Missbrauch zu verhindern.
Warum vergibt ein anderer Scanner eine andere Bewertung?
Jeder Scanner gewichtet Header anders. Die Befunde und die Aufschlüsselung der Punkte zeigen genau, was wir geprüft haben, und das ist aussagekräftiger als der Buchstabe.
Sie brauchen mehr, als ein Tool zeigen kann?
Ein Tool prüft einen einzelnen Punkt. Unsere Berater sehen sich das Gesamtbild an.
PenetrationstestsPassende Artikel
-
Eine praxisnahe Sicherheits-Checkliste für WordPress
Zwölf Schritte zur WordPress-Härtung in sinnvoller Reihenfolge, von Updates und verwaisten Plugins bis zu 2FA, XML-RPC, Backups, Dateiintegrität und WAF.
-
Security-Header, die zählen – und welche ausgedient haben
Ein Praxisleitfaden zu CSP mit Nonces, HSTS und Preload, frame-ancestors, Referrer-Policy, Permissions-Policy und COOP – mit Beispielen und was wegkann.
-
Sichere Datei-Uploads: Konzeption und Tests
Checkliste für Upload-Funktionen auf Basis des OWASP Cheat Sheets, mit einer Tabelle von Tests, die Sie gegen jeden Upload-Endpunkt ausführen können.