Security-Header-Score
9 wichtige HTTP-Security-Header in A-F-Note bewertet.
So funktioniert dieses Tool
Der Security-Header-Score bewertet zehn Prüfpunkte und liefert eine Note von A+ bis F. Bewertet werden HSTS (Strict-Transport-Security mit Gewichtung des max-age-Werts), CSP (Content-Security-Policy mit Punktabzug, wenn unsafe-inline für Skripte wirkt oder unsafe-eval erlaubt ist), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP (Cross-Origin-Opener-Policy), COEP (Cross-Origin-Embedder-Policy), CORP (Cross-Origin-Resource-Policy) und der Server- bzw. X-Powered-By-Header (zeigt Version-Leak). Jeder Check hat eine Gewichtung; HSTS und CSP zählen am stärksten, weil sie die größte Schutzwirkung haben.
Typische Anwendungsfälle
- Vor Pentest dokumentieren wo Sie stehen — A oder B sollte Standard sein
- Bei Compliance-Audits (ISO 27001, BSI) den Score-Snapshot als Beleg
- Nach CSP-Hardening prüfen ob die neue Policy richtig ausgespielt wird
- Kunden-Sites in der Agentur regelmäßig screenen
Häufige Fragen
Wie kommt die A-F-Note zustande?
Gewichteter Score: CSP 25 %, HSTS 20 %, X-Frame-Options und X-Content-Type-Options je 10 %, Referrer-Policy und Permissions-Policy je 8 %, COOP 7 %, COEP 5 %, CORP 4 %, Server-Leak 3 %. Ab 95 % A+, ab 85 % A, ab 70 % B, ab 50 % C, ab 25 % D, sonst F.
Wieso bekomme ich nur eine B trotz vorhandener CSP?
Die CSP wird abgestuft bewertet: Wirkt unsafe-inline für Skripte, kostet das 0,25 von 1,0 Punkten, unsafe-eval 0,2, eine fehlende default-src 0,25, fehlende frame-ancestors 0,1 und fehlende base-uri 0,05. Steht unsafe-inline neben einer Nonce, einem Hash oder strict-dynamic, ignorieren aktuelle Browser es - das kostet nichts. Eine B ergibt sich meist erst zusammen mit den übrigen Headern.
Wie unterscheidet sich das vom HTTP-Header-Inspektor?
Header-Inspektor zeigt ALLE Response-Header. Security-Score fokussiert auf die 9 sicherheitsrelevanten und vergibt eine Note. Komplementär — nutzen Sie beide.
Warum zeigt der Server-Header nur 0,7 Punkte?
Nennt der Server- oder X-Powered-By-Header nur die Software (z. B. "nginx"), gibt das 0,7 Punkte; verrät er auch die Version (z. B. "nginx/1.18"), nur 0,3. Fehlen beide Header, gibt es 1,0 Punkte.
Folgt das Tool Redirects?
Ja, bis 5 Hops. Bewertet wird die finale Response — bei HTTP→HTTPS-Redirect ist das also das Ziel mit den Production-Headers.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.