So funktioniert es
- 1Geben Sie die URL ein, deren Header Sie sehen möchten.
- 2Wählen Sie die Methode GET oder HEAD.
- 3Klicken Sie auf „Prüfen“.
- 4Lesen Sie die Header der finalen Antwort, klappen Sie einzelne Weiterleitungen auf und prüfen Sie das Security-Audit.
Was HTTP-Header verraten
Mit jeder Antwort schickt der Server Header mit: Content-Type, Caching-Regeln (Cache-Control, ETag), Komprimierung, Server-Software, Cookies und Weiterleitungsziele. Sie sind entscheidend für Performance, SEO (z. B. X-Robots-Tag) und Sicherheit. Das Tool zeigt die Header der letzten Antwort und – aufklappbar – jeder einzelnen Weiterleitung.
Die sechs wichtigsten Security Header
Strict-Transport-Security (HSTS) erzwingt HTTPS. Content-Security-Policy (CSP) schränkt ein, woher Skripte und Inhalte geladen werden dürfen, und bremst XSS-Angriffe. X-Frame-Options verhindert Clickjacking per iFrame. X-Content-Type-Options: nosniff stoppt MIME-Sniffing. Referrer-Policy steuert, welche URL-Daten an andere Seiten weitergegeben werden – auch aus Datenschutzsicht (DSGVO) relevant. Permissions-Policy beschränkt Kamera, Mikrofon, Standort und andere Browser-Funktionen.
GET oder HEAD?
HEAD fragt nur die Header ab und ist schneller. Manche Server oder CDNs beantworten HEAD aber anders oder gar nicht – bei Abweichungen liefert GET das realistische Ergebnis, so wie es auch ein Browser sieht.
Häufige Fragen
Wie sehe ich die HTTP-Header einer Website?
Im Browser über die Entwicklertools (Tab „Netzwerk“) oder schneller hier: URL eingeben, prüfen, und alle Header werden als Tabelle angezeigt.
Welche Security Header sollte jede Website haben?
Mindestens HSTS, X-Content-Type-Options, X-Frame-Options (oder frame-ancestors in der CSP) und eine Referrer-Policy. Eine Content-Security-Policy ist aufwendiger, bietet aber den größten Schutz.
Wie setze ich fehlende Header?
Je nach Server in der .htaccess (Apache), in der Nginx-Konfiguration, in der web.config (IIS) oder über die Einstellungen Ihres CDN bzw. Hosters.
Schadet ein fehlender Header dem Ranking?
Nicht direkt. HTTPS ist ein Rankingfaktor, die übrigen Security Header schützen vor allem Ihre Besucher – fehlen sie, erhöht das das Risiko von Angriffen.
Mit den Ergebnissen nicht zufrieden?
Sprechen Sie mit Webin Agency über schnelle, SEO-freundliche Websites, E-Commerce und Google-Ads-Betreuung.