HTTP-Header prüfen

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

Beispiele: http://github.com, wikipedia.org, example.com

Weiterleitungskette

1 Anfrage
#StatusURLZeit
1 200 OK https://www.google.com 62 ms

Sicherheits-Header

1/6F
  • Strict-Transport-Security
    Zwingt Browser, bei künftigen Besuchen HTTPS zu verwenden (HSTS).
  • Content-Security-Policy
    Schränkt ein, welche Skripte, Styles und Frames geladen werden dürfen; der stärkste Schutz gegen XSS.
  • X-Content-Type-Options
    Auf 'nosniff' setzen, damit Browser Inhaltstypen nicht erraten.
  • X-Frame-Options: SAMEORIGIN
    Verhindert Clickjacking, indem gesteuert wird, wer die Seite einbetten darf (oder nutzen Sie CSP frame-ancestors).
  • Referrer-Policy
    Steuert, wie viel der URL im Referer-Header an andere Websites gesendet wird.
  • Permissions-Policy
    Schaltet leistungsstarke Browserfunktionen (Kamera, Standort ...) ab, die die Website nicht nutzt.
HTTP/3: Angeboten h3=":443"; ma=2592000,h3-29=":443"; ma=2592000 · Server: gws

Response-Header

https://www.google.com · 142.251.152.119
Content-Typetext/html; charset=ISO-8859-1
DateSat, 17 Oct 2026 13:53:57 GMT
Expires-1
Cache-Controlprivate, max-age=0
Content-Security-Policy-Report-Onlyobject-src 'none';base-uri 'self';script-src 'nonce-QTlGWSZr9GsaTt3Viki9Qg' 'strict-dynamic' 'report-sample' 'unsafe-eval' 'unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp
Accept-CHSec-CH-Prefers-Color-Scheme
P3PCP="This is not a P3P policy! See g.co/p3phelp for more info."
Content-Encodinggzip
Servergws
X-XSS-Protection0
X-Frame-OptionsSAMEORIGIN
Set-Cookie__Secure-STRP=ABNhA6hd3CJNE7pxuv_pY9VDBmlZoENQNHKaPEb1X-Ladxjy4MfGk-A0ugNFTNcDEvNaKyzJfuJSZYUkw9cSIdsCIEQ75Xv5hA; expires=Sat, 17-Oct-2026 13:58:57 GMT; path=/; domain=.google.com; Secure; SameSite=strict
Set-CookieAEC=Aaa9EJoocgzCnOxawHuKHzqeW8RamtLVFV1KrlHHS0PnxMZQkLKcqHiEyQ; expires=Thu, 15-Apr-2027 13:53:57 GMT; path=/; domain=.google.com; Secure; HttpOnly; SameSite=lax
Set-CookieNID=CvYBCAESqAEBOxGDSKtkEv7llSMy6_2EttSspAflTAqz3kcoW_djHF_0GjcHkDNGec_CWxoogwqeEBmJidixzr95tF2NeME5YvAI6SN9JBJrzPRM91nOHFXJ_30o9bkT8ww3C9IDcVQHLEI40Jqxh_AQCa5d3vFWtPyeU-_q-ojEkoK3twzgZnDgGJnQPBc995nOEZadGdBNBNqzmchl1_4tw3DbxEDwPx6ARbJD_ygoATJFAdKsB8-L1f_EhU_FgdOO-AmFhQivotZ4VnH1FMjzdoB44CxL60M4IODt7rQMYXbFFDMI1CHn-RbjYfW5ESnB6dnul1kL; expires=Sun, 18-Apr-2027 13:53:57 GMT; path=/; domain=.google.com; HttpOnly
Alt-Svch3=":443"; ma=2592000,h3-29=":443"; ma=2592000
Transfer-Encodingchunked

Was dieser HTTP-Header-Check anzeigt

Geben Sie eine beliebige URL ein, und wir rufen sie von unserem Server aus genau so ab, wie es ein Browser tun würde, ohne Weiterleitungen automatisch zu verfolgen. So können wir Ihnen jeden Schritt der Weiterleitungskette mit Statuscode und Antwortzeit zeigen, gefolgt von den vollständigen Response-Headern der Zielseite und einer Bewertung der Sicherheits-Header.

Spickzettel zu HTTP-Statuscodes

CodeBedeutungSEO-Hinweis
200 OKDie Seite wurde normal geladen.Indexierbar.
301 Moved PermanentlyDauerhafte Weiterleitung.Gibt Ranking-Signale weiter; nutzen Sie sie für Domainumzüge und HTTP→HTTPS.
302 / 307 Temporary redirectVorübergehende Verschiebung.Suchmaschinen behalten die ursprüngliche URL im Index.
308 Permanent RedirectWie 301, behält aber die Anfragemethode bei.Wird wie 301 behandelt.
304 Not ModifiedDie zwischengespeicherte Kopie ist weiterhin gültig.Normal bei wiederholten Besuchen.
403 ForbiddenZugriff verweigert, oft durch eine Firewall oder einen Bot-Schutz.Kann Crawler aussperren.
404 Not FoundUnter dieser URL gibt es keine Seite.Fällt mit der Zeit aus dem Index.
410 GoneAbsichtlich entfernt.Wird schneller aus dem Index entfernt als bei 404.
500 / 502 / 503Server- oder Upstream-Fehler.Dauerhafte 5xx-Fehler schaden dem Crawling.

Best Practices für Weiterleitungen

  • Beschränken Sie Ketten auf einen Schritt: http://example.com sollte direkt zu https://www.example.com/ führen, nicht über zwei oder drei Zwischen-URLs.
  • Nutzen Sie 301 oder 308 für dauerhafte Umzüge, damit Suchmaschinen Ranking-Signale übertragen.
  • Vermeiden Sie Weiterleitungsschleifen und gemischte Schritte von HTTPS zu HTTP.

Empfohlene Sicherheits-Header

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Fügen Sie HSTS erst hinzu, wenn jede Subdomain HTTPS unterstützt, und führen Sie CSP zuerst im Modus Content-Security-Policy-Report-Only ein. Prüfen Sie die TLS-Seite mit unserem Tool SSL-Zertifikat prüfen.

Häufig gestellte Fragen

Warum sehe ich einen 403-Fehler, obwohl die Website in meinem Browser funktioniert?

Manche Websites blockieren automatisierte Anfragen oder Anfragen aus Cloud-Rechenzentren mit einem Bot-Schutz.

Welche Ports kann ich prüfen?

Die Ports 80, 443, 8080 und 8443 bei öffentlichen Adressen. Private und interne Adressen werden aus Sicherheitsgründen blockiert.

Aktualisiert

Kommentare

Noch keine Bewertungen

Melden Sie sich an, um dieses Tool zu bewerten.

Teilen Sie einen Tipp, stellen Sie eine Frage oder erzählen Sie, wie das Tool bei Ihnen funktioniert hat.

Noch keine Kommentare. Erzählen Sie als Erste oder Erster, wie es lief.

In die Zwischenablage kopiert