HTTP-Header-Inspektor
Live-Holen einer URL, vollständige Response-Header + Security-Header-Bewertung.
So funktioniert dieses Tool
Der HTTP-Header-Inspektor lädt Ihre URL serverseitig (nicht im Browser), folgt bis zu 5 Weiterleitungen und zeigt jeden einzelnen Response-Header der letzten Antwort. Im Anschluss bewertet er die neun wichtigsten Security-Header — Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy und Cross-Origin-Embedder-Policy. Sie sehen damit auf einen Blick, wo Ihre Site oder Ihre Kunden-Domain Lücken hat.
Typische Anwendungsfälle
- Vor einem Pentest oder Security-Audit den Ist-Stand der Security-Header dokumentieren
- Nach Deployment einer neuen CSP-Policy prüfen, ob sie korrekt ausgespielt wird
- Bei Cookie-Konflikten den Set-Cookie-Header mit Flags (HttpOnly, Secure, SameSite) auslesen
- Cache-Header (Cache-Control, ETag, Last-Modified) für Performance-Reviews kontrollieren
- Server- und x-powered-by-Header sichten, um veraltete Software-Versionen zu finden
Häufige Fragen
Welche Security-Header sind heute Pflicht?
Mindestens HSTS (Strict-Transport-Security mit max-age ≥ 31536000), eine restriktive CSP (mindestens default-src 'self'), X-Content-Type-Options: nosniff und Referrer-Policy. Ohne diese vier ist eine Site auf modernem Niveau nicht sicher konfiguriert.
Folgt das Tool Redirects?
Ja — bis zu 5 Weiterleitungen. Angezeigt werden die Header der letzten Antwort. Die einzelnen Sprünge mit Status und Ziel zeigt der Weiterleitungsprüfer.
Welcher User-Agent wird verwendet?
Ein eigener User-Agent: "XICTRAQ-Tools/1.0 (+https://www.xictraq.com/de/tools)". Sites die XICTRAQ explizit blocken können dies in robots.txt oder im WAF tun.
Was zeigt der Check mehr als ein reiner Security-Header-Grader?
Wir zeigen ALLE Header (nicht nur Security), bewerten in DE/EN, halten Daten im Speicher (kein History-Log) und sind DSGVO-konform in der EU gehostet. Plus: Sie können den Check in unsere 24/7-Überwachung übernehmen.
Bewertet das Tool auch Cookie-Flags?
Es zeigt jeden Set-Cookie-Header mit allen Flags. Eine Score-Komponente speziell für Cookie-Hardening ist in Arbeit.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.