GmorkKostenloses Werkzeug
Geben Sie eine Website ein, um zu sehen, welche der sechs empfohlenen HTTP-Sicherheits-Header deren Startseite sendet, welche Werte schwach sind und ob Software-Versionen offengelegt werden. Kostenlos, keine Anmeldung.
Jeder ist eine einzelne Zeile in der Serverkonfiguration. Hier steht, was er bewirkt und ein sinnvoller Startwert.
Weist Browser an, für Ihre Website immer https zu verwenden, damit eine Verbindung in einem unsicheren Netzwerk nicht unbemerkt auf http herabgestuft werden kann.
Strict-Transport-Security: max-age=31536000; includeSubDomainsSechs Monate (15552000 Sekunden) gelten bei Gmork als Mindestdauer für eine starke Einstellung. Fügen Sie includeSubDomains nur hinzu, wenn jede Subdomain https verwendet.
Legt fest, von welchen Quellen Skripte, Styles, Bilder und Frames geladen werden dürfen. Dies erschwert eingeschleusten Skripten, wie Kartendieben, das Laden von Angreifer-Domains.
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'Beginnen Sie mit Content-Security-Policy-Report-Only, um zu sehen, was nicht mehr funktioniert, und setzen Sie dann die Richtlinie durch. Report-Only allein blockiert nichts.
Verhindert, dass andere Websites Ihre Seiten in Frames einbinden, um Besucher zu täuschen (Clickjacking). Eine CSP frame-ancestors-Regel erfüllt denselben Zweck und wird hier mitgezählt.
X-Frame-Options: DENYVerwenden Sie SAMEORIGIN, wenn Ihre eigene Website Seiten einbettet.
Verhindert, dass der Browser Dateitypen errät, sodass eine hochgeladene Datei nicht als Skript ausgeführt werden kann.
X-Content-Type-Options: nosniffnosniff ist der einzige gültige Wert.
Steuert, wie viel von Ihrer Seitenadresse an andere Websites gesendet wird, wenn Besucher weiterklicken oder die Seite externe Ressourcen lädt.
Referrer-Policy: strict-origin-when-cross-originVermeiden Sie unsafe-url, da hierbei vollständige Adressen, einschließlich Abfragezeichenfolgen, an jede Website gesendet werden.
Schaltet Browserfunktionen aus, die Ihre Website nicht nutzt, wie Kamera, Mikrofon oder Standort, damit eingeschleuster Code oder eingebettete Inhalte diese nicht anfordern können.
Permissions-Policy: camera=(), microphone=(), geolocation=()Lassen Sie jede Funktion weg, die die Website wirklich nutzt, oder erlauben Sie sie für Ihre eigene Herkunft mit (self).
Der Prüfer weist auch auf einen X-Powered-By-Header oder einen Server-Header mit Versionsnummer wie nginx/1.18.0 hin. Diese sind für sich genommen keine Schwachstellen, machen aber veraltete Software leicht erkennbar. Sie zählen nie zu den sechs.
Die meisten Server und Frameworks können diese entfernen, zum Beispiel server_tokens off in nginx.
Möchten Sie die ausführliche Version? Lesen Sie Sicherheitsheader erklärt.
Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options (oder die CSP frame-ancestors-Regel), X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Außerdem wird vermerkt, wenn der Server- oder X-Powered-By-Header Softwareversionen preisgibt.
Nein. Sicherheitsheader dienen der Härtung: Sie erschweren manche Angriffe oder begrenzen den Schaden. Ein fehlender Header ist ein Verbesserungsvorschlag, kein Hinweis auf einen Angriff.
Die Startseite, die Sie eingeben, nach Weiterleitungen. Header können sich zwischen Seiten unterscheiden. Prüfen Sie wichtige Seiten einzeln, wenn sie von einem anderen System bereitgestellt werden.
Ja, ohne Konto. Er ist rate-limitiert, damit ihn alle nutzen können, und jede zu Gmork hinzugefügte Website erhält bei jedem Lauf denselben Header-Check.
Machen Sie sich um mehr als nur Header Sorgen? Probieren Sie den kostenlosen Website-Hack-Check.