Zum Inhalt springen
IPeek

HTTP-Header-Prüfung

Antwort-Header, Weiterleitungen und Sicherheit untersuchen

Wird geprüft…

Was sind HTTP-Response-Header?

HTTP-Response-Header verraten, wie sich ein Webserver verhält: den Statuscode, den er zurückgibt, wohin er weiterleitet, welche Software er betreibt und welche Security-Hardening-Header er sendet. Fehlende Header wie HSTS, Content-Security-Policy oder X-Frame-Options machen Websites anfällig für Downgrade-, Injection- und Clickjacking-Angriffe. IPeek folgt der vollständigen Redirect-Kette und bewertet die Antwort anhand der wichtigsten Security-Header.

So funktionieren HTTP-Header und Statuscodes

Jede HTTP-Antwort beginnt mit einem Statuscode und einer Reihe von Headern vor dem Seiteninhalt. Der Statuscode teilt dem Client mit, was geschah: 200 bedeutet Erfolg, 301 und 302 bedeuten, dass die Ressource verschoben wurde, 404 bedeutet nicht gefunden und 5xx bedeutet einen Serverfehler. Header tragen Metadaten wie Content-Type, Server, Cache-Control und die Sicherheitsdirektiven, die dem Browser sagen, wie er die Seite behandeln soll. IPeek fragt die URL ab, erfasst diese Header genau so, wie der Server sie gesendet hat, und folgt jedem Redirect, sodass Sie den vollständigen Pfad bis zur finalen Antwort sehen.

So lesen Sie Ihre Header- und Redirect-Ergebnisse

Bestätigen Sie zuerst, dass der finale Statuscode der erwartete ist, typischerweise 200 für eine Live-Seite. Gehen Sie dann die Redirect-Kette durch: Eine saubere Konfiguration leitet HTTP auf HTTPS und jeden nicht-kanonischen Host auf den kanonischen um, in möglichst wenigen Sprüngen, da jeder zusätzliche Redirect Latenz hinzufügt. Achten Sie auf Redirect-Schleifen oder eine Kette, die auf dem falschen Host endet. Der Server-Header verrät die eingesetzte Software, und die Bewertung der Security-Header zeigt auf einen Blick, welche Schutz-Header vorhanden sind und welche fehlen.

Wichtige Security-Header und häufige Lücken

Strict-Transport-Security (HSTS) zwingt Browser zur Nutzung von HTTPS und verhindert Downgrade-Angriffe. Content-Security-Policy begrenzt, von wo Skripte und Ressourcen geladen werden dürfen – die stärkste Abwehr gegen Cross-Site-Scripting. X-Frame-Options oder eine CSP-frame-ancestors-Direktive blockiert Clickjacking, indem sie steuert, wer Ihre Seite einbetten darf. X-Content-Type-Options: nosniff stoppt MIME-Sniffing. Die häufigste Lücke ist eine Website, die keinen dieser Header ausliefert und dem Browser so keinen zusätzlichen Schutz bietet. Fügen Sie sie am Webserver oder CDN hinzu und prüfen Sie dann erneut, ob sie in der Live-Antwort erscheinen.

Wann Sie eine HTTP-Header-Prüfung durchführen sollten

Prüfen Sie Header nach einem Deployment, nach dem Wechsel Ihres CDN oder Reverse Proxy und immer dann, wenn Sie die Sicherheitslage einer Website verschärfen – das sind die Momente, in denen Header hinzugefügt, entfernt oder überschrieben werden. Es ist der schnellste Weg, um zu bestätigen, dass ein HTTP-auf-HTTPS-Redirect tatsächlich funktioniert, eine unerwartete Redirect-Kette zu debuggen oder zu verifizieren, dass ein konfigurierter Security-Header echte Browser erreicht und nicht irgendwo im Auslieferungspfad entfernt wird.

Häufig gestellte Fragen

Was zeigt eine HTTP-Header-Prüfung?

Sie zeigt den Statuscode, die Redirect-Kette, die Serversoftware und die Security-Header, die eine Website zurückgibt. Sie sehen, ob die URL korrekt weiterleitet, wie viele Sprünge es braucht, welcher Server antwortet und welche Schutz-Header wie HSTS und Content-Security-Policy vorhanden sind oder fehlen. Das macht sie zu einem schnellen Diagnosewerkzeug sowohl für Routing-Probleme als auch für Sicherheitslücken.

Was ist HSTS und warum ist es wichtig?

HTTP Strict-Transport-Security ist ein Header, der Browser anweist, für einen festgelegten Zeitraum nur über HTTPS zu verbinden. Es ist wichtig, weil es Downgrade- und Man-in-the-Middle-Angriffe verhindert, bei denen ein Angreifer eine unsichere HTTP-Verbindung erzwingt. Sobald ein Browser HSTS sieht, verweigert er für diesen Host einfaches HTTP, bis die Richtlinie abläuft, und schließt damit ein reales Angriffsfenster.

Warum hat meine Website so viele Redirects?

Redirect-Ketten häufen sich meist an, wenn separate Regeln jeweils eine Sache beheben: HTTP auf HTTPS, non-www auf www und die Normalisierung des abschließenden Schrägstrichs. Jeder Sprung fügt Latenz und eine Fehlerchance hinzu. Fassen Sie sie nach Möglichkeit zu einem einzigen Redirect auf die finale kanonische URL zusammen und achten Sie auf Schleifen, bei denen zwei Regeln die Anfrage hin und her schicken.

Welche Security-Header sollte jede Website haben?

Mindestens sollten Sie Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options: nosniff und Frame-Schutz via X-Frame-Options oder CSP frame-ancestors senden. HSTS erzwingt HTTPS, CSP begrenzt Skript-Injection, nosniff stoppt MIME-Verwechslungen, und der Frame-Schutz blockiert Clickjacking. Zusammen decken sie die häufigsten browserseitigen Angriffsklassen mit Direktiven ab, die Sie einmal am Server oder CDN setzen.

Was ist der Unterschied zwischen einem 301- und einem 302-Redirect?

Ein 301 ist ein permanenter Redirect und ein 302 ein temporärer. Ein 301 teilt Browsern und Suchmaschinen mit, dass die Ressource dauerhaft verschoben wurde, sodass sie Lesezeichen aktualisieren und Ranking-Signale an die neue URL weitergeben. Ein 302 sagt, dass die Verschiebung temporär ist, sodass Clients weiterhin die ursprüngliche URL nutzen. Verwenden Sie 301 für kanonische und HTTPS-Redirects.