Kostenloses Diagnosetool
HTTP Header Checker — HTTP-Header-Prüfung
Prüfen Sie HTTP-Header für jede URL: Security-Header (HSTS, CSP, X-Frame), Cache-Control, Content-Type, Server, Status Code. Ideal für Sicherheits- und Performance-Audits.
Wie prüfe ich HTTP-Header einer Website?
Der HTTP Header Checker prüft Header in 3 Schritten: 1) Geben Sie eine URL ein (mit oder ohne https://). 2) Beim Klick auf Prüfen sendet das Tool eine HEAD-Anfrage und analysiert Response Header. 3) Ergebnisse sind klassifiziert: Gut (Security-Header vorhanden), Warnung (Server gibt Version preis, Cache no-cache), Schlecht (kritische Header fehlen), Info (andere). Ideal für: Sicherheitsaudit (CSP, HSTS, X-Frame), Prüfung der Cache-Strategie, Debuggen von CORS-Problemen, Wettbewerbsanalyse.
- Header-Klassifizierung — Gut / Warnung / Schlecht / Info
- Erkennung fehlender Security-Header (HSTS, CSP, X-Frame)
- Status Code + Server-Typ (Apache/nginx/LiteSpeed)
- Ideal für Sicherheits- und Performance-Audits der Website
HTTP Header Checker
Geben Sie eine URL ein und prüfen Sie HTTP-Header, Security-Header und Status Code.
Die 6 wichtigsten HTTP-Header
Cache-Control
PerformanceDefiniert, wie der Browser Ressourcen zwischenspeichert. public, max-age=31536000 bedeutet 1 Jahr Caching für statische Dateien (Bilder, CSS, JS mit Hash im Namen).
Cache-Control: public, max-age=31536000Content-Type
GrundlegendDefiniert den Inhaltstyp und das Charset. text/html; charset=utf-8 für HTML, application/json für API-Antworten. Ohne den richtigen Content-Type kann der Browser den Inhalt falsch interpretieren.
Content-Type: text/html; charset=utf-8X-Frame-Options
SicherheitVerhindert Clickjacking-Angriffe. SAMEORIGIN erlaubt das Einbetten nur von der gleichen Domain, DENY blockiert <iframe>-Einbettung vollständig. Obligatorisch für alle Admin/Login-Seiten.
X-Frame-Options: SAMEORIGINStrict-Transport-Security (HSTS)
SicherheitErzwingt HTTPS-Verbindung. max-age=31536000; includeSubDomains erfordert HTTPS für ein Jahr. Ohne HSTS kann der Browser beim ersten Besuch auf HTTP zurückfallen.
Strict-Transport-Security: max-age=31536000; includeSubDomainsContent-Security-Policy (CSP)
SicherheitStärkster XSS-Schutz. default-src 'self' erlaubt Skripte/Stile/Bilder nur von der gleichen Domain. Verhindert Injection-Angriffe und unbefugtes Laden von Ressourcen.
Content-Security-Policy: default-src 'self'Server
InfoGibt die Webserver-Version preis. „LiteSpeed“ ist OK, aber „Apache/2.4.41 (Ubuntu)“ gibt dem Angreifer spezifische Exploits preis. Konfigurieren Sie ServerSignature Off.
Server: LiteSpeedHTTP-Header — Sicherheit und Performance
HTTP-Header sind Metadaten, die der Server in jeder HTTP-Antwort an den Browser sendet. Sie definieren alles von der Cache-Strategie bis zu Sicherheitsrichtlinien. Richtig konfigurierte Header schützen vor XSS-Angriffen, Clickjacking, MIME-Confusion und beschleunigen die Website um 50-80 % dank Browser-Cache.
Header werden auf der Ebene des Webservers konfiguriert (Apache .htaccess, nginx config, LiteSpeed) oder in der Anwendung (PHP header() Funktion, Express Middleware, Next.js Header-Konfiguration). Wichtigste Security-Header: HSTS (erzwingt HTTPS), CSP (verhindert XSS), X-Frame-Options (Anti-Clickjacking), X-Content-Type-Options (nosniff).
BeoHosting-Hosting-Pakete haben Apache + LiteSpeed mit optimal konfigurierten Standard-Headern (HSTS, HTTP/2, GZIP/Brotli). Wenn Sie einen Cloudflare-Proxy vor dem BeoHosting-Hosting verwenden, erscheinen zusätzliche Header (CF-Ray, CF-Cache-Status).
Bereit, Ihre Website zu starten?
Schließen Sie sich 4.000+ zufriedenen Kunden an. Kostenlose Migration und 30-Tage-Geld-zurück-Garantie.
Häufig gestellte Fragen - HTTP Header Checker
Antworten auf die häufigsten Fragen zu unseren Diensten.
Rufen Sie uns an: Der Support ist rund um die Uhr erreichbar, per Telefon und über Tickets.
(+381) 60 3535 720Was sind Security-Header und warum sind sie wichtig?
Security-Header sind HTTP-Header, die eine Website vor häufigen Webangriffen schützen: HSTS (erzwingt HTTPS, verhindert SSL-Stripping), CSP (verhindert XSS), X-Frame-Options (Anti-Clickjacking), X-Content-Type-Options (nosniff MIME-Confusion), Referrer-Policy (Kontrolle des Referer-Headers), Permissions-Policy (Berechtigungen für Kamera/Mikro/Geo). Ohne sie ist die Website anfällig für beliebte Angriffe.
Wie füge ich Security-Header auf BeoHosting-Hosting hinzu?
Am einfachsten über die .htaccess-Datei. Fügen Sie in public_html/.htaccess hinzu: Header set X-Frame-Options „SAMEORIGIN“, Header set X-Content-Type-Options „nosniff“, Header set Strict-Transport-Security „max-age=31536000; includeSubDomains“. Für CSP verwenden Sie unser .htaccess Generator Tool. Header werden sofort angewendet — kein Neustart erforderlich.
Was bedeutet die HSTS Preload List?
HSTS Preload ist eine von Chromium (Chrome) gepflegte Liste, in die strikt HTTPS-only Sites (mit HSTS mindestens 1 Jahr lang + includeSubDomains + preload Direktive) aufgenommen werden können. Wenn Ihre Domain auf der Preload-Liste steht, werden Chrome und Firefox niemals eine HTTP-Verbindung versuchen — sofort HTTPS. Einreichungsformular: hstspreload.org.
Wie entferne ich den Server-Header (verstecke die Apache-Version)?
Auf Apache in httpd.conf oder .htaccess: ServerSignature Off + ServerTokens Prod. Auf LiteSpeed (BeoHosting) — Server: LiteSpeed ist standardmäßig ohne Version, sicher. Für vollständiges Verstecken: Verwenden Sie mod_security oder einen Reverse Proxy (Cloudflare/nginx) vor dem BeoHosting-Backend, der den Server-Header in der Response entfernt.
Speichert das Tool meine URLs?
Nein. Die URL, die Sie prüfen, geht nur durch unsere API zum Zielserver für die HEAD-Anfrage. Wir speichern keine URLs in einer Datenbank, loggen keine IP-Adressen der Benutzer und verfolgen keine Aktivitäten. Alles ist 100 % privat und funktioniert auch mit internen/Staging-URLs, wenn sie öffentlich zugänglich sind.
Unsere Garantien für Ihren Seelenfrieden
Von allen Seiten geschützt
30-Tage-Garantie
Wir erstatten ohne Fragen in den ersten 30 Tagen.
Kostenlose Migration
Wir migrieren Ihre Site ohne Ausfallzeit — Sie tun nichts.
24/7-Support
Unsere Experten sind 24/7 über Tickets und Live-Chat verfügbar.