HTTP-Header prüfen

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

Beispiele: http://github.com, wikipedia.org, example.com

Weiterleitungskette

2 Anfragen
#StatusURLZeit
1 301 Moved Permanently http://github.com 6 ms
2 200 OK https://github.com/ 29 ms

Sicherheits-Header

5/6B
  • Strict-Transport-Security: max-age=31536000; includeSubdomains; preload
    Zwingt Browser, bei künftigen Besuchen HTTPS zu verwenden (HSTS).
  • Content-Security-Policy: default-src 'none'; base-uri 'self'; child-src github.githubassets.com github.com/assets-cdn/worker/ github.com/assets/ gist.github.com/assets-cdn/worker/; con…
    Schränkt ein, welche Skripte, Styles und Frames geladen werden dürfen; der stärkste Schutz gegen XSS.
  • X-Content-Type-Options: nosniff
    Auf 'nosniff' setzen, damit Browser Inhaltstypen nicht erraten.
  • X-Frame-Options: deny
    Verhindert Clickjacking, indem gesteuert wird, wer die Seite einbetten darf (oder nutzen Sie CSP frame-ancestors).
  • Referrer-Policy: origin-when-cross-origin, strict-origin-when-cross-origin
    Steuert, wie viel der URL im Referer-Header an andere Websites gesendet wird.
  • Permissions-Policy
    Schaltet leistungsstarke Browserfunktionen (Kamera, Standort ...) ab, die die Website nicht nutzt.
HTTP/3: Nicht angeboten (kein h3 in Alt-Svc) · Server: github.com

Response-Header

https://github.com/ · 140.82.114.3
DateSat, 17 Oct 2026 02:35:31 GMT
Content-Typetext/html; charset=utf-8
content-languageen-US
VaryX-PJAX, X-PJAX-Container, Turbo-Visit, Turbo-Frame, X-Requested-With, X-GitHub-Client-Version, Accept-Language, Sec-Fetch-Site,Accept-Encoding, Accept, X-Requested-With
ETagW/"f7c0703c4d9b14c5a641b782c282e61f"
Cache-Controlmax-age=0, private, must-revalidate
Strict-Transport-Securitymax-age=31536000; includeSubdomains; preload
X-Frame-Optionsdeny
X-Content-Type-Optionsnosniff
X-XSS-Protection0
Referrer-Policyorigin-when-cross-origin, strict-origin-when-cross-origin
Content-Security-Policydefault-src 'none'; base-uri 'self'; child-src github.githubassets.com github.com/assets-cdn/worker/ github.com/assets/ gist.github.com/assets-cdn/worker/; connect-src 'self' uploads.github.com www.githubstatus.com collector.github.com raw.githubusercontent.com api.github.com github-cloud.s3.amazonaws.com github-production-repository-file-5c1aeb.s3.amazonaws.com github-production-upload-manifest-file-7fdce7.s3.amazonaws.com github-production-user-asset-6210df.s3.amazonaws.com *.rel.tunnels.api.visualstudio.com wss://*.rel.tunnels.api.visualstudio.com github.githubassets.com objects-origin.githubusercontent.com copilot-proxy.githubusercontent.com proxy.individual.githubcopilot.com proxy.business.githubcopilot.com proxy.enterprise.githubcopilot.com *.actions.githubusercontent.com wss://*.actions.githubusercontent.com productionresultssa0.blob.core.windows.net productionresultssa1.blob.core.windows.net productionresultssa2.blob.core.windows.net productionresultssa3.blob.core.windows.net productionresultssa4.blob.core.windows.net productionresultssa5.blob.core.windows.net productionresultssa6.blob.core.windows.net productionresultssa7.blob.core.windows.net productionresultssa8.blob.core.windows.net productionresultssa9.blob.core.windows.net productionresultssa10.blob.core.windows.net productionresultssa11.blob.core.windows.net productionresultssa12.blob.core.windows.net productionresultssa13.blob.core.windows.net productionresultssa14.blob.core.windows.net productionresultssa15.blob.core.windows.net productionresultssa16.blob.core.windows.net productionresultssa17.blob.core.windows.net productionresultssa18.blob.core.windows.net productionresultssa19.blob.core.windows.net github-production-repository-image-32fea6.s3.amazonaws.com github-production-release-asset-2e65be.s3.amazonaws.com insights.github.com wss://alive.github.com wss://alive-staging.github.com api.githubcopilot.com api.individual.githubcopilot.com api.business.githubcopilot.com api.enterprise.githubcopilot.com wss://production-copilot-host.webpubsub.azure.com api.github.com/cmc_internal/api/ edge.fullstory.com rs.fullstory.com; font-src github.githubassets.com; form-action 'self' github.com gist.github.com copilot-workspace.githubnext.com objects-origin.githubusercontent.com; frame-ancestors 'none'; frame-src viewscreen.githubusercontent.com notebooks.githubusercontent.com www.youtube-nocookie.com; img-src 'self' data: blob: github.githubassets.com media.githubusercontent.com camo.githubusercontent.com identicons.github.com avatars.githubusercontent.com private-avatars.githubusercontent.com github-cloud.s3.amazonaws.com objects.githubusercontent.com release-assets.githubusercontent.com secured-user-images.githubusercontent.com user-images.githubusercontent.com private-user-images.githubusercontent.com opengraph.githubassets.com repository-images.githubusercontent.com marketplace-screenshots.githubusercontent.com copilotprodattachments.blob.core.windows.net/github-production-copilot-attachments/ github-production-user-asset-6210df.s3.amazonaws.com customer-stories-feed.github.com spotlights-feed.github.com explore-feed.github.com *.googleusercontent.com objects-origin.githubusercontent.com *.githubusercontent.com images.ctfassets.net/8aevphvgewt8/; manifest-src 'self'; media-src github.com user-images.githubusercontent.com secured-user-images.githubusercontent.com private-user-images.githubusercontent.com github-production-user-asset-6210df.s3.amazonaws.com gist.github.com github.githubassets.com assets.ctfassets.net/8aevphvgewt8/ videos.ctfassets.net/8aevphvgewt8/; script-src github.githubassets.com 'sha256-tSjmyPUky1KbRZ0fw9VUil3wFEbeM82rtbJDygGJAXw='; style-src 'unsafe-inline' github.githubassets.com; upgrade-insecure-requests; worker-src github.githubassets.com github.com/assets-cdn/worker/ github.com/assets/ gist.github.com/assets-cdn/worker/
Servergithub.com
Content-Encodinggzip
Accept-Rangesbytes
Set-Cookie_gh_sess=W84zmTetPKE%2BmIN%2BUtNJMXTEcCBVGoAX%2Flvq2DeChP2D5g4iSsFkv%2BZRN%2B9Zc0yWDLC3ZhbYv2MNpRWQj26pulNt1%2Fo9HUk8%2FNLwhXLbTQIKPH68crg2rJmNvb9kT2MKFsFg2T5psncSdRwmWrbkW0Jo1xgAFAXnkw5OcjFh4rNkU9ktKU7d%2FV%2B1ar6CDh0HWZiNTjmtm8j33PT5Bc4VG%2BT4IYAItazeFhcRp%2BmClwPjWEB7fAnBDYqiRGlHgaeOit6FF985kwBIqUY6xX9q8Q%3D%3D--Nqk%2FkQdRL5j96CqN--pUm2ShPFdjxIDLLPwXN7yA%3D%3D; path=/; HttpOnly; secure; SameSite=Lax
Set-Cookie_octo=GH1.1.117049103.1792204537; expires=Sun, 17 Oct 2027 02:35:37 GMT; domain=.github.com; path=/; secure; SameSite=Lax
Set-Cookielogged_in=no; expires=Sun, 17 Oct 2027 02:35:37 GMT; domain=.github.com; path=/; HttpOnly; secure; SameSite=Lax
X-GitHub-Request-Id2680:D14C1:5DB6D7:764776:6AD2DEF9
x-github-edge-regioniad
Transfer-Encodingchunked

Was dieser HTTP-Header-Check anzeigt

Geben Sie eine beliebige URL ein, und wir rufen sie von unserem Server aus genau so ab, wie es ein Browser tun würde, ohne Weiterleitungen automatisch zu verfolgen. So können wir Ihnen jeden Schritt der Weiterleitungskette mit Statuscode und Antwortzeit zeigen, gefolgt von den vollständigen Response-Headern der Zielseite und einer Bewertung der Sicherheits-Header.

Spickzettel zu HTTP-Statuscodes

CodeBedeutungSEO-Hinweis
200 OKDie Seite wurde normal geladen.Indexierbar.
301 Moved PermanentlyDauerhafte Weiterleitung.Gibt Ranking-Signale weiter; nutzen Sie sie für Domainumzüge und HTTP→HTTPS.
302 / 307 Temporary redirectVorübergehende Verschiebung.Suchmaschinen behalten die ursprüngliche URL im Index.
308 Permanent RedirectWie 301, behält aber die Anfragemethode bei.Wird wie 301 behandelt.
304 Not ModifiedDie zwischengespeicherte Kopie ist weiterhin gültig.Normal bei wiederholten Besuchen.
403 ForbiddenZugriff verweigert, oft durch eine Firewall oder einen Bot-Schutz.Kann Crawler aussperren.
404 Not FoundUnter dieser URL gibt es keine Seite.Fällt mit der Zeit aus dem Index.
410 GoneAbsichtlich entfernt.Wird schneller aus dem Index entfernt als bei 404.
500 / 502 / 503Server- oder Upstream-Fehler.Dauerhafte 5xx-Fehler schaden dem Crawling.

Best Practices für Weiterleitungen

  • Beschränken Sie Ketten auf einen Schritt: http://example.com sollte direkt zu https://www.example.com/ führen, nicht über zwei oder drei Zwischen-URLs.
  • Nutzen Sie 301 oder 308 für dauerhafte Umzüge, damit Suchmaschinen Ranking-Signale übertragen.
  • Vermeiden Sie Weiterleitungsschleifen und gemischte Schritte von HTTPS zu HTTP.

Empfohlene Sicherheits-Header

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Fügen Sie HSTS erst hinzu, wenn jede Subdomain HTTPS unterstützt, und führen Sie CSP zuerst im Modus Content-Security-Policy-Report-Only ein. Prüfen Sie die TLS-Seite mit unserem Tool SSL-Zertifikat prüfen.

Häufig gestellte Fragen

Warum sehe ich einen 403-Fehler, obwohl die Website in meinem Browser funktioniert?

Manche Websites blockieren automatisierte Anfragen oder Anfragen aus Cloud-Rechenzentren mit einem Bot-Schutz.

Welche Ports kann ich prüfen?

Die Ports 80, 443, 8080 und 8443 bei öffentlichen Adressen. Private und interne Adressen werden aus Sicherheitsgründen blockiert.

Aktualisiert

In die Zwischenablage kopiert