Zum Hauptinhalt springen
Bethemesh
Sicherheit & Datenschutz

Security-Header-Generator

Konfiguriere HTTP-Sicherheitsheader aus einer ausgewogenen, strikten oder kompatiblen Vorlage: HSTS (max-age, includeSubDomains, preload), X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP, CORP, COEP und X-Frame-Options – als reine Header, für Nginx und Apache, mit Konfigurationswarnungen.

  • Zwischenablage

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Vorlage

Strict-Transport-Security (HSTS)

X-Content-Type-Options: nosniff aktivieren

Referrer-Policy

Eine Direktive pro Zeile oder durch Kommas getrennt.

HTTP-Header

HTTP-Header

Nginx-Konfiguration

Apache-Konfiguration

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

Dieser Generator erzeugt die HTTP-Sicherheitsheader, die man von einer produktiven Website erwartet: HSTS, nosniff, Referrer-Policy, Permissions-Policy, Cross-Origin-Isolation und Schutz vor Einbettung in iframes. Er richtet sich an Entwickler und Admins, die eine stimmige, erklärte Nginx- oder Apache-Konfiguration statt eines zufälligen Copy-and-paste wollen.

Jeder Header deckt ein bestimmtes Risiko ab. `Strict-Transport-Security: max-age=31536000; includeSubDomains` (RFC 6797) zwingt den Browser ein Jahr lang zu reinem HTTPS; die Preload-Liste von hstspreload.org verlangt zusätzlich mindestens 31536000 Sekunden, includeSubDomains und preload. `X-Content-Type-Options: nosniff` verhindert, dass der Browser den MIME-Typ einer Antwort errät. `Referrer-Policy: strict-origin-when-cross-origin` schickt anderen Sites nur den Origin. `Permissions-Policy: camera=(), microphone=(), geolocation=()` deaktiviert diese APIs für die Seite und ihre iframes.

Die Isolation-Header wirken zusammen: `Cross-Origin-Opener-Policy: same-origin` trennt dein Fenster von Pop-ups fremder Origins, `Cross-Origin-Resource-Policy` beschränkt, wer deine Ressourcen laden darf, und `Cross-Origin-Embedder-Policy: require-corp` (oder credentialless) akzeptiert nur Ressourcen, die das ausdrücklich erlauben; COOP + COEP machen die Seite „cross-origin isolated“, was SharedArrayBuffer voraussetzt. X-Frame-Options (DENY oder SAMEORIGIN) blockiert die Einbettung in iframes gegen Clickjacking. Das Tool gibt die Header als Rohtext, als Nginx-Direktiven `add_header … always;` und als Apache-Zeilen `Header always set …` aus und warnt bei HSTS unter 180 Tagen, preload ohne includeSubDomains, zu gesprächiger Referrer-Policy sowie fehlendem nosniff oder Frame-Schutz.

So verwenden Sie dieses Tool

  1. Vorlage wählen

    Starte mit Ausgewogen (standardmäßig geladen), Strikt oder Kompatibel: Alle Felder werden mit ihren Werten vorbelegt.

  2. Header anpassen

    Stelle HSTS (an/aus, max-age in Sekunden, Subdomains, preload), nosniff, Referrer-Policy, X-Frame-Options, COOP, CORP und COEP ein und trage die Permissions-Policy-Direktiven ein – eine pro Zeile oder durch Kommas getrennt.

  3. Erzeugen und kopieren

    Erzeuge die Header, lies die Warnungen und kopiere oder exportiere die Roh-, Nginx- oder Apache-Variante.

Anwendungsfälle

Ein A im Header-Scanner holen

Securityheaders.com oder Mozilla Observatory melden fehlende Header: Erzeuge die ausgewogene Vorlage, füge sie in deinen Nginx-server-Block ein und scanne erneut.

HSTS-Preload-Anmeldung vorbereiten

Prüfe, dass max-age mindestens ein Jahr beträgt und includeSubDomains sowie preload gesetzt sind, bevor du die Domain auf hstspreload.org einreichst.

SharedArrayBuffer oder WebAssembly-Threads aktivieren

Die strikte Vorlage kombiniert COOP same-origin und COEP require-corp – die beiden Header, die eine Seite für Cross-Origin-Isolation braucht.

Beispiele

Vier schützende HTTP-Header

Eingabe

HSTS aktivieren: ja; Dauer von max-age (Sekunden): 31536000; Subdomains einschließen: ja; Preload beantragen: nein; X-Content-Type-Options: nosniff aktivieren: ja; Referrer-Policy: strict-origin-when-cross-origin; X-Frame-Options: DENY

Ergebnis

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
X-Frame-Options: DENY
Warnungen: keine

Tipps und bewährte Vorgehensweisen

  • In Nginx hebt ein `add_header` in einem location-Block alle vom server-Block geerbten auf: Wiederhole die Sicherheitsheader in jeder location, die eigene Header setzt.
  • Beginne HSTS mit kurzem max-age (300 s, dann eine Woche), wenn noch nicht alle Subdomains HTTPS können: Ein langer Wert oder Preload lässt sich nur schwer zurücknehmen.
  • Schalte COEP require-corp erst ein, nachdem du deine Drittanbieter-Ressourcen (Bilder, Schriften, Videos) geprüft hast: Alles ohne CORP- oder CORS-Header wird blockiert.

Quellen und Referenzen

Häufig gestellte Fragen

Welche HTTP-Sicherheitsheader braucht eine Website?

Die OWASP-Basis umfasst Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options: nosniff, Referrer-Policy, Frame-Schutz (X-Frame-Options oder frame-ancestors) und je nach Bedarf Permissions-Policy sowie COOP/CORP/COEP. Die CSP erstellst du separat mit dem CSP-Generator.

Welchen max-age-Wert sollte ich für HSTS nehmen?

Ein Jahr (31536000 Sekunden) ist üblich und das Minimum für die Preload-Liste; zwei Jahre (63072000) werden oft empfohlen. Bei einer Migration startest du kurz und erhöhst schrittweise, denn der Browser merkt sich die Regel für die gesamte Dauer.

Brauche ich noch X-XSS-Protection?

Nein. Der XSS-Filter der Browser wurde entfernt, und OWASP empfiehlt, den Header nicht zu senden (oder auf 0 zu setzen), weil er selbst Lücken verursachen konnte. Moderner XSS-Schutz läuft über eine Content Security Policy – deshalb bietet das Tool ihn nicht an.

X-Frame-Options DENY oder SAMEORIGIN?

DENY verbietet jede Einbettung deiner Seiten in iframes; SAMEORIGIN erlaubt sie nur von deinem eigenen Origin, praktisch für einen Admin-Bereich oder Editor, der sich selbst einbettet. ALLOW-FROM ist veraltet: Um eine bestimmte Domain zu erlauben, nutze frame-ancestors in der CSP.

Warum werden Bilder oder Schriften nach dem Hinzufügen von COEP blockiert?

Cross-Origin-Embedder-Policy: require-corp weist jede fremde Ressource ab, die weder Cross-Origin-Resource-Policy noch CORS-Header sendet. Bitte den Anbieter, diese Header zu ergänzen, lade die Ressource mit crossorigin oder nutze den toleranteren Wert credentialless.

Wie füge ich die Header in Nginx oder Apache ein?

In Nginx fügst du die Zeilen `add_header … always;` in den server-Block ein (always sendet sie auch bei Fehlerantworten) und lädst mit `nginx -t && nginx -s reload` neu. In Apache aktivierst du mod_headers und setzt die Zeilen `Header always set …` in den VirtualHost oder eine .htaccess-Datei.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Ähnliche Werkzeuge

CSP-Generator

Erstelle eine Content Security Policy Direktive für Direktive – mit HTTP-Header, Meta-Tag und Warnungen.

Sicherheit & DatenschutzDieses Werkzeug verwenden

HTTP-Header-Analyse

HTTP-Header analysieren und wichtige Sicherheits- und Cache-Informationen erkennen.

Sicherheit & DatenschutzDieses Werkzeug verwenden

Auch interessant