Werden nur die Haupt-URL oder auch Unterseiten geprüft?

Security-Header werden an der konfigurierten Website-URL geprüft. Zusätzlich hinterlegte überwachte Pfade prüfen ihre Erreichbarkeit (Uptime, Statuscode, Antwortzeit), aber keine eigenen Security-Header. Da Header in der Regel global für die ganze Domain gesetzt werden, genügt die Hauptseite für die Header-Bewertung in fast allen Fällen.

Kann ich CSP-Violation-Reports einsammeln?

Ja. Pro Website finden Sie unter Website-Detail → Tab „Security“ das Panel „CSP-Violation-Reports“ mit einem fertigen Token + report-uri zum Kopieren. Tragen Sie in Ihre CSP dann ein: `report-uri https://api.xictraq.com/api/csp-report/ `. Der Endpoint akzeptiert sowohl das klassische CSP-2-Format (`application/csp-report`) als auch das moderne Reporting-API-Format (`application/reports+json`). Eingehende Reports werden nach Direktive, geblockter Quelle und Dokument-URI gruppiert direkt im selben Panel angezeigt — auch im Enforce-Modus läuft die Sammlung weiter.

Wie gehe ich vom Report-Only- in den Enforce-Modus?

Schritt 1: Header `Content-Security-Policy-Report-Only` mit Ihrer Wunsch-Policy + report-uri setzen — der Browser blockiert nichts, meldet aber jeden Verstoß ans Dashboard. Schritt 2: 1–2 Wochen die eintreffenden Reports beobachten und mit dem CSP-Wizard die Policy iterativ verfeinern (legitime Quellen freigeben, schädliche bewusst sperren). Schritt 3: Sobald nur noch Rauschen (Browser-Plugins, Bots) kommt, Header-Namen umstellen auf `Content-Security-Policy`. Ab dann werden Verstöße tatsächlich blockiert. Wichtig: Die report-uri liefert auch im Enforce-Modus weiter Reports, damit Sie neue Issues, Plugin-Konflikte oder XSS-Probing sofort sehen. Sie können beide Header parallel setzen, um eine noch strengere Policy parallel zu testen.

Worin unterscheiden sich X-XSS-Protection und CSP?

X-XSS-Protection ist veraltet und in modernen Browsern wirkungslos. CSP ist der moderne Ersatz und schützt deutlich umfangreicher. XICTRAQ wertet X-XSS-Protection daher bewusst nicht als einen der 9 Header.

Ist die Header-Überwachung an einen Plan gebunden?

Nein. Header-Scan, Score, der CSP-Wizard und das Einsammeln von CSP-Reports stehen in allen Plänen zur Verfügung. Der einzige Unterschied ist die Prüf-Frequenz: Free täglich, bezahlte Pläne alle 6 Stunden — ein sofortiger Re-Scan ist jederzeit in jedem Plan möglich.

Security-Header

HTTP-Response-Header sind die wirksamste Schutzschicht gegen Clickjacking, XSS, Mixed Content und Tracking-Leaks — und kosten nichts. XICTRAQ prüft die 9 wichtigsten Header (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP, CORP, COEP), scannt CSP zusätzlich auf unsafe-inline/unsafe-eval/wildcards, bewertet die Konfiguration und liefert konkrete Code-Snippets für nginx, Apache, Caddy, IIS und Node/Express zum Nachrüsten. Dauer-Monitoring: Free alle 24 h, Paid alle 6 h.

# Header-Übersicht

Tab „Security“ zeigt jeden der 9 geprüften Header mit Status „Aktiv“ (grün) oder „Fehlt“ (rot) und einer kurzen Erklärung, wovor der Header schützt. Darüber steht der gesamte Security-Score (0–100) mit A+/A/B/C/D/F-Note.

Website → Tab Security

Im Demo-Account ansehen →

Security Score

9 HTTP-Header + Protokoll-Checks

0255075100

Gut 78/100

Security Headers

9 kritische HTTP-Sicherheits-Header

Strict-Transport-Security

Erzwingt HTTPS-Verbindungen und verhindert Downgrade-Angriffe

Aktiv

Content-Security-Policy

Kontrolliert welche Ressourcen geladen werden dürfen (XSS-Schutz)

Aktiv

X-Frame-Options

Verhindert Clickjacking durch Einbettung in Iframes

Aktiv

X-Content-Type-Options

Verhindert MIME-Type-Sniffing des Browsers

Aktiv

Referrer-Policy

Kontrolliert welche Referrer-Informationen gesendet werden

Aktiv

Permissions-Policy

Beschränkt Browser-APIs wie Kamera, Mikrofon, Geolocation

Aktiv

Cross-Origin-Opener-Policy

Isoliert den Browser-Kontext — schützt vor Tab-Napping / Spectre

Aktiv

Cross-Origin-Resource-Policy

Verhindert unerlaubtes Laden von Ressourcen durch fremde Origins

Fehlt

Cross-Origin-Embedder-Policy

Erfordert explizite CORP/CORS für eingebettete Ressourcen (Spectre-Schutz)

Fehlt

# Was XICTRAQ prüft

HSTS — HTTPS erzwingen

Strict-Transport-Security: max-age, includeSubDomains, Preload-Direktive (erkannt am Header selbst). Als „preload-fähig“ gilt der Header bei max-age ≥ 1 Jahr plus includeSubDomains und preload. Empfehlung: max-age=63072000 (2 Jahre), includeSubDomains, preload.

CSP — Inhaltsherkunft kontrollieren

Content-Security-Policy wird auf häufige Schwachstellen gescannt: 'unsafe-inline', 'unsafe-eval', zu offene Source-Listen ('* in script-src'), fehlendes default-src. Konkretes Hardening-Beispiel pro Befund.

X-Frame-Options / frame-ancestors

Schutz gegen Clickjacking. Empfehlung: SAMEORIGIN oder via CSP frame-ancestors 'self'. Der Security-Tab bewertet X-Frame-Options eigenständig nach dem Vorhandensein des Headers und meldet ihn als fehlend, auch wenn CSP frame-ancestors gesetzt ist — setzen Sie für eine grüne Bewertung daher beides.

Referrer-Policy

Steuert, was beim Klick auf externe Links als Referrer mitgeschickt wird. Empfehlung: strict-origin-when-cross-origin (Browser-Default), für Privacy-sensitive Sites: no-referrer.

Permissions-Policy

Sperrt Browser-APIs (Kamera, Mikrofon, Geolocation, USB, MIDI, Payment) für die eigene Site und für 3rd-Party-iFrames. XICTRAQ schlägt eine Default-Policy für typische Marketing-Sites vor (alles aus, was nicht gebraucht wird).

X-Content-Type-Options

nosniff verhindert MIME-Sniffing — kritisch, wenn User-Uploads ausgeliefert werden. Pflicht-Header für jede Site, kein Konfigurations-Aufwand.

Cross-Origin-Headers (COOP/COEP/CORP)

Trennt Ihren Browsing-Context strikt von anderen Origins — Voraussetzung für SharedArrayBuffer und WebAssembly-Threading. Für klassische Marketing-Seiten optional, für Web-Apps empfohlen. Gewichtung im XICTRAQ-Security-Score: COOP 7 Punkte, CORP 4 Punkte, COEP wird nur erkannt und gelistet (keine Score-Punkte).

Info-Leak-Erkennung

Zusätzlich zu den 9 Headern prüft XICTRAQ auf Versions-Preisgabe: ein Server-Header mit Versionsnummer (z. B. nginx/1.24.0) und jeder X-Powered-By-Header werden als Befund gemeldet. Sind beide sauber (keine Version, kein X-Powered-By), gibt es einen Bonus auf den Score.

# So entsteht der Security-Score

Der Score (0–100) addiert feste Punkte: HTTPS als Basis, je vorhandenem Header die unten genannten Punkte, plus zwei Boni. Daraus leitet XICTRAQ die Note A+ bis F ab. Re-Scan und Dauer-Monitoring nutzen dieselbe Berechnung.

# Punktevergabe (Summe gedeckelt auf 100)
HTTPS (Basis / base)                 +15
Content-Security-Policy              +20
Strict-Transport-Security (HSTS)     +12
X-Frame-Options                      + 8
X-Content-Type-Options               + 8
Referrer-Policy                      + 8
Permissions-Policy                   + 8
Cross-Origin-Opener-Policy (COOP)    + 7
Cross-Origin-Resource-Policy (CORP)  + 4
Cross-Origin-Embedder-Policy (COEP)  + 0
# Boni
HSTS preload-ready                   + 5
keine Info-Leaks (Server-Version + X-Powered-By)  + 5

# Note (Grade)
A+ ab 95   A ab 85   B ab 70   C ab 50   D ab 25   F < 25

CSP per Meta-Tag zählt mit

Ist keine Content-Security-Policy als HTTP-Header gesetzt, sucht XICTRAQ im HTML nach einem Content-Security-Policy-Meta-Tag und wertet ihn gleichwertig (volle 20 Punkte). Ein reiner Content-Security-Policy-Report-Only-Header gibt dagegen keine Punkte, weil er nichts erzwingt — seine Direktiven fließen aber in die CSP-Analyse ein.

# Security-Wizard (4 Schritte)

Statt Header von Hand zu basteln, führt der Wizard in vier Schritten von Scan bis Reports: 1) externe Quellen scannen (CspSourceScanner extrahiert alle in Scripts/Frames/Connections genutzten Hosts), 2) Header pro Direktive konfigurieren (Hash-Mode für inline Scripts statt unsafe-inline, Token-basiertes report-uri), 3) fertiges Snippet pro Server (nginx/Apache/Caddy/IIS/Express) zum Kopieren, 4) eingehende CSP-Violation-Reports im selben Panel auswerten — gruppiert nach Direktive, geblockter Quelle und Dokument-URI.

Generator → nginx

Im Demo-Account ansehen →

# In server-Block einfügen
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Cross-Origin-Embedder-Policy "require-corp" always;
add_header Cross-Origin-Resource-Policy "same-site" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; connect-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'" always;

Nach dem Einbau: Re-Scan auslösen.

CSP nicht direkt ausrollen

Eine strikte Content-Security-Policy kann Ihre Site brechen, wenn z. B. ein Tracker oder Chat-Widget plötzlich blockiert wird. Empfohlener Ablauf: Erst mit Content-Security-Policy-Report-Only ausliefern, Reports einsammeln (XICTRAQ akzeptiert eingehende CSP-Reports unter Ihrem Account), erst danach scharfschalten.

# Wöchentliche Sicherheitshaltung im Klartext

Einmal pro Woche fasst XICTRAQ die Sicherheitshaltung jeder aktiven Website aus dem jüngsten Security-Scan zusammen — Score plus die sechs Kern-Header (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) — als kurzer Klartext-Absatz auf Deutsch und Englisch. Dieser Text erscheint direkt auf der Security-Score-Karte im Website-Detail. Standardmäßig wird er regelbasiert formuliert (kostenlos); die KI-Formulierung ist ein optionaler Betreiber-Schalter.

Häufige Fragen

Free-Plan: täglich. Starter/Business/Agency: alle 6 Stunden. Zusätzlich kann jederzeit ein sofortiger Re-Scan ausgelöst werden (z. B. nach dem Deploy eines Fixes).

# Header-Übersicht

Security Score

Security Headers

# Was XICTRAQ prüft

HSTS — HTTPS erzwingen

CSP — Inhaltsherkunft kontrollieren

X-Frame-Options / frame-ancestors

Referrer-Policy

Permissions-Policy

X-Content-Type-Options

Cross-Origin-Headers (COOP/COEP/CORP)

Info-Leak-Erkennung

# So entsteht der Security-Score

# Security-Wizard (4 Schritte)

# Wöchentliche Sicherheitshaltung im Klartext

Häufige Fragen

# Verwandte Doku-Kapitel

Lassen Sie XICTRAQ Ihre Website bewachen.

Lassen Sie XICTRAQ
Ihre Website bewachen.