HTTP-Sicherheitsheader
Prüft die Sicherheitsheader, die Ihr Server sendet. Sicherheit ist für sich kein Rankingfaktor, doch HTTPS, HSTS und gemischte Inhalte wirken auf Crawling und Vertrauen.
- Anmeldung nötigMitgliedschaft ist kostenlos
- Im Paket Pro freigeschaltet100 Analysen pro Tag
- Wird im Verlauf gespeichertÜber Ihr Konto abrufbar
Worauf schaut dieses Werkzeug?
Alles, was darüber entscheidet, ob Google Ihre Seite crawlen und indexieren kann: Tags, Weiterleitungen, robots, Sitemap und Serverantworten.
- HSTS, CSP, X-Content-Type-Options, Referrer-Policy
- Funktioniert die Weiterleitung auf HTTPS wirklich
- Header, die Server und Technikversion verraten
Was dieses Werkzeug misst
Sicherheitsheader sind kurze Anweisungen, die der Server jeder Antwort mitgibt. Sie sagen dem Browser Dinge wie „komm zu dieser Seite immer über https“, „rate den Dateityp nicht“, „lass mich nicht von einer fremden Seite einrahmen“. Sie ändern den Inhalt nicht, sie begrenzen das Verhalten der Seite.
Keiner davon ist ein direkter Rankingfaktor. Doch eine Warnung „Nicht sicher“ im Browser vertreibt Besucher, gemischte Inhalte zerstören die Seite, und eine Domain ohne https-Weiterleitung liefert denselben Inhalt unter zwei Adressen. Alle drei berühren die Suchleistung.
Das Werkzeug ruft Ihre Domain einmal auf und prüft sechs gängige Header. Zusätzlich testet es die http-Fassung der Website gesondert: Leitet sie wirklich auf https weiter? Zum Schluss prüft es, ob der Server Versionsangaben preisgibt.
So nutzen Sie es
- 1
Die Domain eingeben
Das ist eine Messung für die ganze Website, nicht für eine Seite. Header werden meist auf Server- oder CDN-Ebene gesetzt.
- 2
Mit den zwei roten Headern beginnen
HSTS und X-Content-Type-Options gelten als kritisch. Beide sind eine Zeile und zerstören nichts.
- 3
Die http → https-Weiterleitung prüfen
Alte Links und getippte Adressen kommen weiterhin über http. Ohne Weiterleitung betreiben Sie faktisch zwei Websites.
- 4
CSP zuletzt angehen
Content-Security-Policy ist der mächtigste und heikelste Header. Erst im Report-Modus ausrollen, dann erzwingen.
Wann Sie es einsetzen
- Als Teil der technischen Prüfliste, bevor eine neue Website live geht.
- Nach einer Sicherheitsprüfung oder einer Kundenfrage, um den Ist-Zustand zu dokumentieren.
- Nach einem Wechsel von Server oder CDN, um den Umzug der Header zu bestätigen.
- Wenn die Browser-Konsole gemischte Inhalte meldet und Sie den Stand von HSTS sehen wollen.
Das Ergebnis lesen
Kein HSTS
Die erste Anfrage eines Besuchers kann noch über http laufen. Mit max-age=31536000 geht der Browser ein Jahr lang direkt auf https.
Kein X-Content-Type-Options
Es sollte nosniff lauten. Lässt man den Browser Dateitypen raten, kann eine hochgeladene Datei als Skript ausgeführt werden.
CSP nicht gesetzt
Nichts begrenzt, woher Skripte auf der Seite stammen dürfen. Ein gekapertes Drittanbieter-Skript trifft Sie direkt.
Kein X-Frame-Options
Ihre Seite lässt sich in den Rahmen einer fremden Website setzen. SAMEORIGIN schließt Clickjacking aus.
Serverversion wird preisgegeben
Die Header Server und X-Powered-By verraten Software und Version. Für Angreifer ist das eine fertige Karte.
Fragen zu HTTP-Sicherheitsheader
Direkte Rankingfaktoren sind sie nicht. HTTPS selbst ist ein leichtes Rankingsignal, das hat Google offen gesagt. Die eigentliche Wirkung ist indirekt: Wer eine Browserwarnung sieht, geht wieder, und eine durch gemischte Inhalte zerstörte Seite wird schlecht bewertet.
Ja, das ist der eine Header, den man vorsichtig behandelt. Für die Dauer von max-age erreicht der Browser Ihre Website nur über https; läuft das Zertifikat ab oder unterstützt eine Subdomain kein https, ist die Seite nicht erreichbar. Beginnen Sie mit kleinem max-age und gehen Sie später auf ein Jahr.
Nur wenn jede Ihrer Subdomains bereits über https läuft. Genügt eine einzige nicht, lassen Sie es weg: Sobald es gesetzt ist, öffnet diese Subdomain in keinem Browser mehr, und die Rücknahme bedeutet Warten, bis max-age abläuft.
In der Serverkonfiguration (Nginx, Apache), in der Anwendungsschicht oder im CDN-Panel. Bei Next.js ist der headers-Abschnitt in der next.config am praktischsten, weil er alle Pfade auf einmal abdeckt.
Passt gut dazu
Die übrigen Werkzeuge derselben Kategorie. Zusammen ergeben sie das ganze Bild.
Das Werkzeug hat das Problem gefunden. Jetzt die Korrektur
Wir übernehmen technisches SEO, Inhalte und KI-Sichtbarkeit von Anfang bis Ende. Wir sehen Ihre Website durch und liefern eine klare Liste der nächsten Schritte.
Montag – Samstag 09:00 – 18:00