HTTP-Header einer URL

Was NetCheck anzeigt

NetCheck sendet von seinen eigenen Servern eine Anfrage an die angegebene Adresse, folgt den Weiterleitungen einzeln und zeigt für die endgültige Antwort:

• den Statuscode und die Anzahl der gefolgten Weiterleitungen;
• den angegebenen Server und die Antwortzeit;
• eine Übersicht der vorhandenen oder fehlenden Sicherheits-Header;
• die vollständige Liste der Header für eine genaue Analyse.

Statuscodes, die man kennen sollte

Die Sicherheits-Header

• Strict-Transport-Security (HSTS) zwingt den Browser, für die Domain eine Zeit lang nur HTTPS zu verwenden, und vereitelt so Angriffe, die auf HTTP zurückschalten wollen. Üblicher Wert: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) listet die erlaubten Quellen für Skripte, Stile, Bilder und Frames. Sie ist der beste Schutz gegen eingeschleuste Skripte (XSS) und am schwierigsten einzustellen: Eine zu strenge Richtlinie legt die Website lahm.
• X-Frame-Options oder die CSP-Direktive frame-ancestors verhindert, dass die Seite auf einer anderen Website in einen Frame eingebettet wird, und blockiert so Clickjacking.
• X-Content-Type-Options: nosniff verbietet dem Browser, den Typ einer Datei zu erraten, ein klassischer Weg, präparierte Inhalte ausführen zu lassen.
• Referrer-Policy begrenzt, wie viel die Seite von ihrer Adresse an verlinkte Websites weitergibt.
• Permissions-Policy schaltet sensible Funktionen ab, die die Website nicht braucht: Kamera, Mikrofon, Standort.

Ein fehlender Header ist für sich keine Sicherheitslücke, aber jeder schließt fast kostenlos eine ganze Klasse von Angriffen aus.

Weiterleitungen und SEO

Jede Weiterleitung kostet einen zusätzlichen Netzwerkumlauf und schwächt das Signal an Suchmaschinen ein wenig ab. Ziel ist höchstens eine Weiterleitung zwischen der eingegebenen Adresse und der Zielseite. Eine typische Kette, die man korrigieren sollte: http://beispiel.de, dann https://beispiel.de, dann https://www.beispiel.de, dann https://www.beispiel.de/start. Besser leitet man die erste Adresse direkt auf die letzte weiter.

Caching

• Cache-Control legt fest, wer die Antwort speichern darf und wie lange. no-store verbietet jede Speicherung, max-age=3600 erlaubt eine Stunde.
• ETag und Last-Modified erlauben dem Browser, die Seite nur neu anzufordern, wenn sie sich geändert hat, was eine sehr leichte 304-Antwort ergibt.
• Age, von CDNs gesetzt, gibt an, seit wie vielen Sekunden die Antwort im Cache liegt.

Häufige Fragen

Warum weicht das Ergebnis von dem ab, was ich im Browser sehe?

Die Anfrage kommt von den Servern von NetCheck, nicht von Ihrem Computer. Eine Website kann je nach Land, Sprache, Cookies oder Client-Typ unterschiedlich antworten, und manche Firewalls blockieren automatisierte Anfragen mit einer 403. Das Ergebnis bleibt repräsentativ für das, was ein Bot sieht, etwa eine Suchmaschine.

Ist der Header „Server“ ein Risiko?

Er verrät die verwendete Software, manchmal ihre Version, was einem Angreifer hilft, bekannte Lücken gezielt zu suchen. Die Version zu verbergen ist gute Praxis, aber kein Schutz an sich: Den Server aktuell zu halten ist weit wichtiger.

Braucht man für den Wechsel zu HTTPS eine 301 oder eine 302?

Eine 301 (oder 308), da die Änderung endgültig ist. Ergänzen Sie danach den HSTS-Header, damit der Browser die HTTP-Version gar nicht mehr versucht.

Meine Website liefert 200, aber die Seite ist leer oder zeigt einen Fehler: Was ist los?

Manche Anwendungen zeigen eine Fehlerseite und liefern trotzdem den Code 200. Suchmaschinen nennen das „Soft 404“ und ignorieren solche Seiten irgendwann. Eine nicht existierende Seite sollte eine echte 404 zurückgeben.