Vorhaben besprechen

TOOLBOX · SECURITY-CHECK

SECURITY-HEADERCHECKEN.

Wie gut schützt Ihre Website ihre Besucher? Domain eingeben, Note erhalten und sehen, welche Zeile Konfiguration fehlt.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir rufen die Seite einmal ab wie ein Browser und lesen, was öffentlich ausgeliefert wird. Ergebnisse speichern wir nicht dauerhaft.

WAS GEPRÜFT WIRD

Kleine Zeilen.
Große Wirkung.

Security-Header sind Anweisungen Ihres Servers an den Browser. Sie kosten nichts, sind schnell gesetzt und schließen ganze Angriffsklassen aus.

  • 01

    HTTPS und HSTS

    Verschlüsselte Verbindung, dauerhafte Umleitung von HTTP und die Anweisung an den Browser, nie wieder unverschlüsselt zu verbinden.

  • 02

    Content-Security-Policy

    Legt fest, aus welchen Quellen Skripte laden dürfen. Der wichtigste Schutz gegen Cross-Site-Scripting.

  • 03

    Clickjacking-Schutz

    frame-ancestors oder X-Frame-Options verhindern, dass fremde Seiten Ihre Website unsichtbar einbetten.

  • 04

    Datenschutz-Header

    Referrer-Policy und Permissions-Policy begrenzen, was fremde Seiten über Besucher erfahren und welche Gerätefunktionen sie anfragen.

  • 05

    Isolation

    Cross-Origin-Opener- und Resource-Policy trennen Ihre Seite von fremden Fenstern und Einbindungen.

  • 06

    Offenlegung

    Versionsangaben im Server-Header helfen Angreifern, bekannte Lücken gezielt zu finden.

FRAGEN

Gut zu wissen.

Was prüft der Security-Header-Check?

Er ruft die Startseite Ihrer Website einmal ab wie ein Browser und bewertet die Sicherheits-Header der Antwort: HTTPS und Weiterleitung von HTTP, Zertifikat, HSTS, Content-Security-Policy, Schutz vor Clickjacking, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Header und Versionsangaben.

Darf ich fremde Websites prüfen?

Der Check liest nur, was die Website jedem Besucher öffentlich ausliefert. Er sendet keine Formulare, probiert keine Lücken aus und scannt keine Ports.

Wie entsteht die Note?

Jede Prüfung hat ein Gewicht. Bestanden zählt voll, ein Hinweis halb, ein kritischer Befund nicht. Daraus ergibt sich ein Wert von 0 bis 100 und die Note A+ bis F. A+ gibt es nur ohne kritischen Befund; fehlt HTTPS oder ist das Zertifikat ungültig, ist höchstens C möglich.

Warum wird eine CSP mit unsafe-inline nur als Hinweis gewertet?

Mit 'unsafe-inline' dürfen auch eingeschleuste Inline-Skripte laufen. Damit verliert die Content-Security-Policy einen großen Teil ihrer Schutzwirkung gegen Cross-Site-Scripting. Besser sind Nonces oder Hashes.

Speichert TOMORIS meine Eingabe oder das Ergebnis?

Nein, nicht dauerhaft. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe derselben Domain die Website nicht erneut belasten, und ist spätestens nach sechs Minuten gelöscht. Details stehen in der Datenschutzerklärung im Abschnitt Toolbox.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen