Zum Hauptinhalt springen
Bethemesh
Entwicklung

HTTP-Header-Analyse

Prüfe HTTP-Header und erhalte eine strukturierte Übersicht über relevante Direktiven.

  • Zwischenablage
  • Export

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Füge HTTP-Antwortzeilen mit oder ohne Statuszeile ein.

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

HTTP-Header analysieren und wichtige Sicherheits- und Cache-Informationen erkennen.

Füge Antwortheader zeilenweise als Name: Wert ein. Eine Statuszeile wie HTTP/1.1 200 OK wird ignoriert. Namen werden kleingeschrieben und geprüft, wiederholte Werte mit Kommas verbunden. Set-Cookie bleibt auf getrennten Zeilen, weil Expires ein Komma enthalten kann. HTTP/2-Pseudoheader wie :status werden von dieser Oberfläche nicht akzeptiert.

Geprüft wird das Vorhandensein von Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Hinzu kommen Cache-Control, Access-Control-Allow-Origin und Content-Encoding. Der Prozentwert nutzt eine interne Skala: je 12 Punkte für die fünf Felder, 8 für Cache, 6 für einen ausdrücklichen CORS-Ursprung, 6 für Kompression und bis zu 12 für Cookieattribute, bezogen auf maximal 92 Punkte. Das ist keine externe Zertifizierung.

Secure, HttpOnly und ein erkannter SameSite-Wert werden für jedes Cookie getrennt geprüft. Ein Attribut zählt nur, wenn alle Cookies es besitzen. Beziehungen zwischen Direktiven werden nicht geprüft. SameSite=None ohne Secure, unwirksame CSP oder ungültiges HSTS können trotzdem Anwesenheitspunkte erhalten. Manche Felder sind für bestimmte Antworten unnötig. Der Höchstwert ist deshalb kein Sicherheitsnachweis, ein niedriger Wert kein Beweis einer Schwachstelle. Prüfe die konkrete Wirkung der Richtlinien im tatsächlichen Anwendungskontext.

So verwenden Sie dieses Tool

  1. Eine echte Antwort kopieren

    Hole Header aus Browser-Netzwerkwerkzeugen oder einem HTTP-Client. Entferne Inhalt und Zwischenantworten, damit du jeweils eine Antwort prüfst.

  2. Lokal untersuchen

    Füge die Zeilen ein und starte. Das Werkzeug lädt die Website nicht und bestätigt nicht, dass alle Benutzer diese Header erhalten.

  3. Einzelne Hinweise verstehen

    Prüfe jede Direktive im Kontext. Vergleiche Antworten nach Serveränderungen und unterscheide Feldanwesenheit von wirksamen Werten.

Anwendungsfälle

Eine Serveränderung prüfen

Vergleiche tatsächlich empfangene Antwortheader vor und nach einer Konfigurationsänderung.

Cookies getrennt bewerten

Prüfe vorhandene Attribute pro Cookie, ohne deren Optionen zusammenzuführen.

Cachehinweise verstehen

Vergleiche Cache-Control mit dem öffentlichen oder privaten Zweck einer Ressource.

Beispiele

Anwesenheit prüft keinen Wert

Das CSP-Feld bringt 12 von 92 Punkten, gerundet 13 %. invalid-policy ist ein erfundener, weder empfohlener noch vom Zähler validierter Wert.

Eingabe

Content-Security-Policy: invalid-policy

Ergebnis

13%

Verteilte Attribute addieren sich nicht

Beide Cookies besitzen SameSite, aber nicht beide Secure und HttpOnly. Nur SameSite zählt mit 4 von 92 Punkten, gerundet 4 %.

Eingabe

Set-Cookie: a=1; Secure; HttpOnly; SameSite=Lax
Set-Cookie: b=2; SameSite=Lax

Ergebnis

4%

Tipps und bewährte Vorgehensweisen

  • Veröffentliche keine echten Set-Cookie- oder Anmeldewerte in Tickets. Lokale Analyse schützt keinen später geteilten Text.
  • Statische Antworten, öffentliche APIs und angemeldete Seiten benötigen unterschiedliche Cache- und CORS-Regeln. Deute den Bericht für die konkrete Ressource.
  • Mische Header einer Weiterleitung nicht mit denen der endgültigen Antwort. Sonst entsteht eine Richtlinienmenge, die keine Antwort tatsächlich besitzt. Bewahre URL, Antwortstatus und Zeitpunkt als Kontext für deinen Bericht auf. Eine spätere Antwort kann andere Header enthalten, etwa nach einer Änderung am Cache oder an der Anmeldung.

Quellen und Referenzen

Häufig gestellte Fragen

Besucht das Werkzeug meine Website?

Nein. Es untersucht nur eingefügten Text. Weiterleitungen, TLS und Richtlinien beim tatsächlichen Laden einer Seite werden nicht getestet.

Garantieren 100 % gute Sicherheit?

Nein. Der Wert bildet Anwesenheits- und Attributprüfungen dieser Skala ab. Vollständige Richtliniensemantik und Anwendungsschwachstellen werden nicht untersucht.

Warum ist fehlendes CORS nicht zwingend ein Fehler?

Eine nicht für fremde Ursprünge bestimmte Ressource muss CORS nicht erlauben. Zulässige Ursprünge müssen zu Nutzung und Anmeldung passen.

Wie werden mehrere Cookies bewertet?

Jede Zeile behält eigene Attribute. Secure, HttpOnly oder SameSite zählt nur, wenn alle Cookies es besitzen. Es entsteht kein fiktives Cookie aus zusammengeführten Werten.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Ähnliche Werkzeuge

HTTP-Header-Generator

HTTP-Header für Anfragen oder Antworten zusammenstellen.

EntwicklungDieses Werkzeug verwenden

API-Anfrage-Builder

Eine vollständige HTTP-API-Anfrage mit Methode, URL, Parametern, Headern und Body erstellen.

EntwicklungDieses Werkzeug verwenden

MIME-Type nachschlagen

Finde MIME-Types anhand von Dateiendungen oder Bezeichnungen.

EntwicklungDieses Werkzeug verwenden

Auch interessant