formexposed
Loslegen

Sicherheits-Header

Wie gut schützt Ihre Seite, was Besucher eintippen?

Eine Note von A+ bis F für die HTTP-Header Ihrer Startseite: HTTPS und HSTS, Content Security Policy, Schutz vor fremden Rahmen, Cookies und was der Server verrät. Kostenlos, ohne Konto, zwei Abrufe.

Wir laden Ihre Startseite zweimal (https und http), sonst nichts. Domains mit Opt-out prüfen wir nicht.

Was wir prüfen

Start: 100 Punkte. Fehlender Schutz kostet Punkte, zusätzlicher bringt ein paar. Die Note folgt den Punkten: A+ ab 100 (mit HTTPS, HSTS und strenger CSP), A ab 90, B ab 75, C ab 60, D ab 45, darunter F.

  • HTTPS: Seite und Formulareingaben gehen verschlüsselt (−40 ohne).
  • HSTS: Browser fallen nie auf unverschlüsseltes http zurück, auch nicht bei einer eingetippten Adresse (−20 ohne, −10 unter 6 Monaten, +5 mit preload).
  • Content Security Policy: nur freigegebene Skripte laufen – ein eingeschleustes Skript kann das Formular nicht mitlesen (−25 ohne, −15 nur Report-Only, −10 mit unsafe-inline/eval).
  • Rahmen: keine fremde Seite kann Ihre in einem Rahmen zeigen und Klicks abfangen (−20 ohne X-Frame-Options oder frame-ancestors).
  • nosniff: der Browser rät keine Dateitypen (−5 ohne).
  • Referrer-Policy: Adressen mit Formularparametern gehen nicht an fremde Seiten (−5 wenn unsicher).
  • Cookies: Secure, HttpOnly und SameSite (bis −20).
  • Server und X-Powered-By ohne Versionen – genau danach suchen Angreifer (−5).

Ähnlich wie Mozilla HTTP Observatory und securityheaders.com; unsere Gewichtung stellt nach vorn, was Formulareingaben schützt. Eine gute Note heißt nicht, dass das Formular geschützt ist – dafür ist der Formular-Check da.