HTTP-Sicherheits-Header erklärt: Wie Websites die Note A erreichen
HSTS, Content-Security-Policy, X-Frame-Options und mehr – wogegen jeder Sicherheits-Header schützt, wie sie sich zu einer Sicherheitsnote summieren und wie du sie auf jeder Website untersuchst.
Warum Response-Header ein Sicherheitssignal sind
Bevor eine Seite ein einziges Pixel rendert, hat der Server deinem Browser bereits gesagt, wie sehr er ihr vertrauen kann. HTTP-Response-Header sind Anweisungen: ob die Verbindung verschlüsselt bleiben muss, welche Skripte laufen dürfen und ob die Seite von anderen Sites geframed werden darf. Zwei Seiten können auf dem Bildschirm identisch aussehen, während eine gehärtet ist und die andere weit offen – der Unterschied ist eine Handvoll Header-Zeilen.
Deshalb fasst Redirect Radar Header zu einer einzigen Sicherheitsnote von A bis F für jeden getracten Hop zusammen: Die Note komprimiert mehrere technische Prüfungen zu einem Signal auf einen Blick.
Die Header, die die Note bewegen
Strict-Transport-Security (HSTS)
Sagt dem Browser: Sprich nie wieder über unverschlüsseltes HTTP mit dieser Domain. Einmal gesehen, upgraded der Browser jede künftige Anfrage auf HTTPS, bevor sie den Rechner verlässt – das killt SSL-Stripping-Angriffe in öffentlichen WLANs. Der max-age-Wert bestimmt, wie lange das Versprechen gilt – ein Jahr oder mehr ist die Norm.
strict-transport-security: max-age=31536000; includeSubDomains; preload
Content-Security-Policy (CSP)
Der stärkste und komplexeste Header. Eine CSP listet, woher Skripte, Styles, Bilder und Frames geladen werden dürfen – ein injiziertes script-Tag aus einer nicht vertrauenswürdigen Quelle weigert sich schlicht zu laufen. Sie ist die Hauptverteidigung gegen Cross-Site-Scripting (XSS) und Datenexfiltration über injiziertes Markup.
content-security-policy: default-src 'self'; script-src 'self'
X-Frame-Options / frame-ancestors
Steuert, ob die Seite in ein iframe eingebettet werden darf. Ohne ihn kann ein Angreifer dein Login-Formular in seine eigene Seite legen und Klicks stehlen – der klassische Clickjacking-Angriff. Moderne Sites drücken dieselbe Regel über die CSP-Direktive frame-ancestors aus; der Legacy-Header schützt weiterhin ältere Browser.
x-frame-options: DENY
X-Content-Type-Options
Ein Wort: nosniff. Es verbietet Browsern, den Typ einer Datei zu erraten – ein hochgeladenes Bild, das heimlich JavaScript enthält, kann dann nicht als Skript ausgeführt werden. Billig zu setzen, kein Nachteil.
x-content-type-options: nosniff
Referrer-Policy
Entscheidet, wie viel der aktuellen URL an Dritte durchsickert, wenn du einem Link folgst oder eine Ressource lädst. Ohne ihn können vollständige URLs – inklusive Tokens in Query-Strings – in fremden Analytics landen. strict-origin-when-cross-origin ist die übliche ausgewogene Wahl.
referrer-policy: strict-origin-when-cross-origin
Permissions-Policy
Ein Killschalter für mächtige Browser-Funktionen – Kamera, Mikrofon, Geolokation, Zahlung. Wer camera=(), microphone=(), geolocation=() deklariert, sorgt dafür, dass weder die eigene Seite noch eingebettete Dritte diese Sensoren anfordern können.
permissions-policy: camera=(), microphone=(), geolocation=()
Wie sich die Header zu einer Note summieren
Kein einzelner Header macht eine Website sicher – die Note bildet das Gesamtbild ab. HTTPS ist das Fundament: Ohne es reisen Header über einen Kanal, den jeder im Netz umschreiben kann, also schneiden reine HTTP-Hops schlecht ab, egal was sonst gesetzt ist. Darüber hinaus schließt jeder vorhandene Header ein bestimmtes Loch.
Untersuche die Header an jedem Link
Du brauchst keinen separaten Scanner, um sie zu lesen. Öffne Redirect Radar auf einer beliebigen Seite – oder trace einen Shortlink – und jeder Hop zeigt seine vollständigen Response-Header neben seinem Statuscode, mit der resultierenden Note direkt daneben. Fehlendes strict-transport-security? Ein unerwarteter x-frame-options-Wert? Du siehst es im selben Panel, in dem die Redirect-Kette lebt.
Besonders aufschlussreich ist das mitten in der Kette: Tracking-Domains und Ad-Redirects haben oft weit schwächere Header-Sets als das eigentliche Ziel, und die Note macht diese Lücke auf einen Blick sichtbar.
Teilst du eigene Links? T.LY hält sie sauber und HTTPS-first. Erstelle einen Shortlink mit T.LY und trace ihn dann in Redirect Radar, um die Note zu prüfen, die dein Publikum tatsächlich bekommt. Jetzt mit T.LY starten → und spare 20 % auf deinen ersten Monat oder ein Jahresabo mit dem Code
Fazit
Sicherheits-Header sind kleine Textzeilen mit überproportionaler Wirkung: HSTS zementiert die Verschlüsselung, CSP entwaffnet injizierte Skripte, Frame-Header stoppen Clickjacking, und die Sniffing-, Referrer- und Permission-Richtlinien schließen leisere Lecks. Websites, die sie setzen, verdienen ihr A; Websites, die sie auslassen, wetten darauf, dass ihre Nutzer nichts merken. Jetzt kannst du nachsehen – Hop für Hop, Header für Header.