Website-Sicherheitsprüfer

Prüfen Sie SSL-Zertifikat, HTTPS-Weiterleitungen und Sicherheits-Header in einem Bericht. Sehen Sie, was Aufmerksamkeit braucht, welche Belege hinter jedem Befund stehen und was Sie zuerst beheben sollten.

kostenlos · ohne Anmeldung · öffentliche Websites auf den Ports 80 und 443

Geben Sie eine Website ein, um ihre öffentliche Sicherheitskonfiguration zu lesen

Was Ihr Bericht abdeckt

Prüfung	worauf wir achten
SSL-Zertifikat	Ablauf, Gültigkeitszeitraum und Abdeckung des Hostnamens für den eingegebenen Host. Eine separate HTTPS-Anfrage prüft, ob unser Client die Zertifikatskette akzeptiert.
HTTPS und Weiterleitungen	Ob HTTPS antwortet, HTTP auf HTTPS weiterleitet und ob eine der beobachteten Ketten auf unverschlüsseltes HTTP zurückfällt.
HSTS	Ob die endgültige HTTPS-Antwort Browser anweist, sich HTTPS zu merken, und für wie lange.
Content Security Policy	Ob eine durchgesetzte Richtlinie vorhanden ist und ob übliche Skript-Einschränkungen eine Prüfung brauchen. Das ist eine grundlegende Prüfung der Richtlinie, kein vollständiges CSP-Audit.
Schutz vor Einbettung	Ob CSP frame-ancestors oder X-Frame-Options einschränkt, welche Websites die Seite einbetten dürfen.
Inhaltstyp und Referrer	Ob nosniff konfiguriert ist und eine ausdrückliche Referrer-Richtlinie begrenzt, welche URL-Details an andere Websites gehen.

Die Ergebnisse beschreiben die Antworten, die ein Probe-Standort zum Zeitpunkt der Prüfung erhalten hat. Ein fehlender Header ist ein Konfigurationsbefund, kein Beweis für eine ausnutzbare Schwachstelle. Eine Fehlerseite oder Bot-Challenge kann andere Header haben als Ihre Anwendung.

Beginnen Sie mit den Befunden, die den Zugriff betreffen

Beheben Sie zuerst abgelaufene Zertifikate, falsche Hostnamen und HTTPS-Downgrades. Prüfen Sie dann die Header-Warnungen danach, wie Ihre Anwendung funktioniert. Testen Sie Änderungen an Richtlinien, bevor Sie sie in Produktion anwenden: Eine restriktive CSP kann Skripte blockieren, die Ihre Seite braucht, und Einbettungsbeschränkungen können gewollte Einbettungen verhindern.

Der Bericht zeigt zuerst Fehler, dann Warnungen, unvollständige Prüfungen und Bestandenes. Jedes Bestanden gilt für eine genannte Prüfung. Dieses Tool sucht nicht nach Malware oder Schwachstellen der Anwendung, prüft keine angemeldeten Sitzungen, erkennt keine gemischten Inhalte und bescheinigt nicht, dass eine Website sicher ist.

Für die einzelnen Belege nutzen Sie den SSL-Zertifikatsprüfer oder den HTTP-Header- und Weiterleitungs-Prüfer. Folgen Sie der Anleitung zur Zertifikatsüberwachung, um Ablaufwarnungen zu erhalten.

Referenzen zum Header-Verhalten: MDN zu HSTS, Content Security Policy und Referrer-Policy.

Fragen zur Sicherheitsprüfung

Was testet dieser Website-Sicherheitsprüfer?

Er liest das Zertifikat des angefragten Hosts, folgt der HTTPS-URL und ihrem HTTP-Gegenstück und prüft die Sicherheits-Header der endgültigen HTTPS-Antwort. Jeder Befund enthält die beobachteten Belege und einen vorgeschlagenen nächsten Schritt. Die Prüfungen nutzen die öffentlichen Web-Ports 80 und 443.

Bedeutet ein bestandener Bericht, dass meine Website sicher ist?

Nein. Ein Bestanden gilt nur für die gezeigte Konfigurationsprüfung. Dieses Tool testet keine Schwachstellen der Anwendung, keine Malware, keine Seiten hinter einer Anmeldung, keine Cookies, keine gemischten Inhalte und nicht jedes TLS-Protokoll und jeden Cipher. Es durchsucht Ihre Website nicht und startet keinen Browser.

Warum sind manche Prüfungen als nicht geprüft markiert?

Ein Timeout, eine blockierte Anfrage, ein Rate-Limit oder eine unvollständige Antwort kann eine Prüfung verhindern. Gekürzte Header und komplexe Richtlinien brauchen eventuell auch eine manuelle Prüfung. Fehlende Belege zählen nie als Bestanden und gelten nie als Beweis, dass Ihre Website angreifbar ist.

Welche Seite beschreiben die Sicherheits-Header?

Die endgültige Antwort, die von Ihrer HTTPS-URL aus erreicht wurde. Leitet Ihre Website auf einen anderen Host weiter, nennt der Bericht dieses Ziel. Header auf anderen Seiten, in Weiterleitungsantworten und in angemeldeten Sitzungen können abweichen. Die Zertifikatsdetails beschreiben den eingegebenen Hostnamen.

Warum prüfen Sie HTTP und nicht nur HTTPS?

Eine funktionierende HTTPS-Seite zeigt nicht, was mit jemandem passiert, der einem HTTP-Link folgt. Die separate HTTP-Prüfung zeigt, ob diese URL auf HTTPS weiterleitet und ob die beobachtete Kette jemals zurück auf HTTP fällt.

Kann ich diese Ergebnisse automatisch überwachen?

Uptimepage kann Verfügbarkeit und Zertifikatsablauf überwachen. Dieser kostenlose Konfigurationsbericht ist eine einmalige Prüfung; die Überwachungslinks richten eine Uptime- oder Zertifikatsüberwachung ein, keine geplanten Scans der Sicherheits-Header.

Verfügbarkeit und Zertifikatsablauf weiter im Blick behalten

Dieser Bericht ist eine Momentaufnahme. Richten Sie eine Überwachung ein, um zu erfahren, wenn Ihre Website nicht mehr antwortet oder ihr Zertifikat bald abläuft.

kostenlos mit der Überwachung beginnen

weitere kostenlose Tools: SLA-Rechner · Cron-Generator · Fehlerbudget-Rechner · Generator für Störungsmeldungen · DNS-Abfrage · HTTP-Header-Prüfer · SSL-Zertifikatsprüfer · Domain-Ablaufprüfer · alle Tools