IPNixa
DE

Bei Auswahl einer Sprache öffnet sich diese Seite in der gewählten Sprache. Beim Übernehmen einer Sprache wird ihr Sprachcode 180 Tage lang in einem Cookie auf diesem Gerät gespeichert.

Ist diese Seite noch nicht übersetzt, öffnet sich eine verfügbare Seite in der gewählten Sprache.

IPNixa / NETZWERKTOOLS

HTTP-Header prüfen: Security-Header für jede URL

Eine Website eingeben, ihre Security-Header prüfen und fertige Korrekturen für nginx, Apache oder Cloudflare Pages kopieren. Dazu zeigt die Seite die Anfrageheader, die der Browser tatsächlich gesendet hat, so wie der Server sie empfangen hat, und hilft bei „Request Header Or Cookie Too Large“.

  • Security-Header-Check für jede öffentliche URL
  • Fertige Korrekturen für nginx, Apache und _headers
  • Die echten Anfrageheader, wie der Server sie empfangen hat
NIXA / VERBINDUNGSBERICHT

Die Anfrageheader, wie der Server sie empfangen hat

Automatisch aus der Anfrage dieses Browsers geladen. Cookies und Zugangsdaten werden nie angezeigt.

Bereit zum Start. Die Ergebnisse bleiben auf dieser Seite.

Die Ergebnisse beschreiben Anfragen dieses Browsers an IPNixa. Dieses Tool speichert keinen Prüfverlauf.

Security-Header einer beliebigen Website prüfen

Eine URL eingeben – IPNixa liest die Antwortheader mit einer einzigen Anfrage – oder Header aus den Entwicklertools bzw. aus curl einfügen. Geprüft werden sechs Sicherheitsheader; zu jedem fehlenden gibt es eine fertige Zeile zum Kopieren für nginx, Apache oder eine _headers-Datei.

Nur öffentliche http- oder https-Adressen auf den Ports 80, 443, 8080 oder 8443. Bis zu drei Weiterleitungen werden verfolgt, und jede Station wird erneut geprüft.

Entwicklertools → Netzwerk → Dokument wählen → Antwortheader → Rohdaten kopieren. Mit curl: curl -I https://example.com. Bis zu 32 KB; bei mehreren HTTP-Antwortblöcken wird nur der letzte analysiert.

Bereit für eingefügte Antwortheader.

Dies ist eine begrenzte Headerprüfung, kein Schwachstellenscan und keine Sicherheitsnote. Fehlende Header können berechtigt sein. CSP hängt unter anderem von Nonces, Hashes, Dokumentinhalt und mehreren Richtlinien ab; Permissions Policy und Isolationsheader hängen von der Anwendung ab. HSTS ist nur über HTTPS wirksam.

Bei einer URL-Prüfung geht nur diese Adresse an den Server von IPNixa. Er sendet eine HEAD-Anfrage (bei Bedarf GET) und gibt nur die geprüften Header sowie Server und Content-Type zurück; nichts wird gespeichert. Eingefügter Text bleibt in diesem Tab. Cookies, Zugangsdaten und andere Felder erscheinen weder im Ergebnis noch im Bericht. Eingefügte Werte und Grafikdetails werden nicht an die Analyse übermittelt.

HTTP-Header prüfen: so geht’s

  1. Eine Website-Adresse eingeben und „Header prüfen“ wählen oder bereits vorhandene Antwortheader einfügen.
  2. Ansehen, welche Sicherheitsheader bestehen, und für fehlende die passende Korrektur kopieren.
  3. Die eigenen Anfrageheader werden automatisch geladen. Für einen Vergleich mit einem anderen Browser oder anderen Datenschutzeinstellungen neu prüfen.

„400 Request Header Or Cookie Too Large“ beheben

Der Fehler bedeutet, dass die Cookies, die eine Website im Browser gespeichert hat, größer geworden sind, als ihr Server akzeptiert. Nur die Cookies dieser Website löschen: In Chrome oder Edge das Symbol links neben der Adresse wählen, dann „Cookies und Websitedaten“ und sie löschen; in Firefox auf das Schloss klicken und „Cookies und Website-Daten löschen“ wählen; in Safari „Einstellungen“, „Datenschutz“, „Websitedaten verwalten“ öffnen. Nach einer erneuten Anmeldung entstehen meist weniger Cookies. Websitebetreiber können das Serverlimit erhöhen, etwa mit large_client_header_buffers in nginx.

HTTP-Header in Chrome, Edge oder Firefox anzeigen

F12 drücken, den Tab „Netzwerk“ öffnen, die Seite neu laden und die erste Anfrage auswählen. Unter „Header“ stehen die vom Browser gesendeten Anfrageheader und die von der Website zurückgegebenen Antwortheader.

Was der Header-Check ausliest

Dies sind freigegebene Header der Prüfanfrage, wie sie beim Worker ankommen. Seitenaufrufe, Bildanfragen und ursprungsübergreifende Anfragen können andere Header senden. Cloudflare kann Werte wie Accept-Encoding normalisieren. Cookie, Authorization und unbekannte Header werden nie zurückgegeben. Fehlende Datenschutzsignale beweisen nicht, dass Tracking aktiviert ist.

Header über die Kommandozeile prüfen

Dieselben Header mit curl anzeigen. example.com durch die zu prüfende Website ersetzen.

Nur Antwortheader (HEAD-Anfrage)
curl -I https://example.com
Antwortheader eines normalen Seitenaufrufs
curl -sD - -o /dev/null https://example.com
Anfrage- und Antwortheader zusammen
curl -v -o /dev/null https://example.com

Werden alle Anfrage-Header angezeigt?

Nein. Zurückgegeben wird nur eine feste Auswahl von Browser-, Sprach-, Inhaltsaushandlungs- und Datenschutz-Headern. Zugangsdaten und andere potenziell sensible Header sind ausgeschlossen.

Weitere Verbindungsprüfungen