Security-Header Ihrer Website prüfen

Ihre Angaben

Mit oder ohne https:// und www.

Nur die Domain geht an unseren Server. Er ruft Ihre Website von dort aus auf und bewahrt das Ergebnis 10 Minuten auf, ohne Bezug zu Ihnen.

Ihr Ergebnis

Das Ergebnis erscheint hier, sobald Sie „Header prüfen“ wählen.

Erster Entwurf geschenkt, live ab 14,99 € netto/Monat im Jahresvertrag

Neue Website mit SSL inklusive – erst ansehen, dann entscheiden

Beschreiben Sie Ihr Unternehmen in wenigen Sätzen oder nennen Sie Ihre bisherige Website. Den ersten Entwurf Ihrer kompletten Website erstellen wir kostenlos, fertig in unter 24 Stunden. SSL und HTTPS sind in jeder Preisstufe inklusive, Sicherheitsupdates laufen jede Nacht automatisch.

  • Erster Entwurf geschenkt
  • In wenigen Minuten ausgefüllt
  • Pflicht: Worum es geht, zwei, drei Sätze zu Ihrem Unternehmen, Name und E-Mail
  • Ohne Anmeldung

Schritt 1 von 4 · dauert wenige Minuten

Schritt 1 von 4 Worum geht es?

Ein Klick genügt – danach geht es automatisch weiter.

Mit Sternchen markierte Angaben sind Pflicht.

Die KI liest Ihren Auftritt ein und übernimmt Inhalte und Bilder; bewährte Adressen bleiben, geänderte werden per 301 weitergeleitet.

Schritt 2 von 4 Erzählen Sie kurz von sich

Zwei bis drei Sätze reichen. Hier tippen Sie am meisten.

Mindestens 20 Zeichen: Branche, Leistungen, Region und Wünsche – je konkreter, desto besser der Entwurf. Beim Relaunch: Was soll bleiben, was stört Sie heute?

Ihre Branche (optional – ein Klick, falls es hier passt)

Ohne Angabe erkennen wir Ihre Branche aus Ihrer Beschreibung.

Gesundheit & Praxis, Kanzlei & Beratung: Für Berufsgeheimnisträger (§ 203 StGB) vorerst nur als Informationswebsite ohne Anfrageformular – Details (öffnet in einem neuen Tab).

Schritt 3 von 4 Wünsche und Vorbilder Optional

Dieser ganze Schritt ist freiwillig – Sie dürfen ihn mit einem Klick überspringen. Zwei, drei Klicks machen Ihren Entwurf aber deutlich treffsicherer.

Welche Wirkung gefällt Ihnen?

Und welche Farbwelt?

Welche Seiten brauchen Sie?

Ohne Auswahl schlagen wir den passenden Seitenaufbau für Ihre Branche vor.

Was soll die Website vor allem bringen?

Wie eilig ist es Ihnen?

Websites, die Sie schön finden

Bis zu drei Adressen, deren Optik Ihnen gefällt. Die KI übernimmt Stilrichtung und Farbklima – niemals Inhalte.

Websites, die Sie inhaltlich gut finden

Bis zu drei Adressen, deren Texte, Aufbau oder Argumentation Sie überzeugen – gern auch aus Ihrer Branche.

Bilder und PDFs mitschicken

Haben Sie Fotos von Ihren Produkten, Angebote oder eine Unternehmenspräsentation? Verkaufen Sie Produkte bestimmter Hersteller? Hier können Sie unserem Team alles mitgeben, was hilft, Sie und Ihr Angebot besser zu verstehen – wir arbeiten es in Ihren Entwurf ein. Bitte schwärzen Sie vorher Kundendaten, etwa in Angeboten.

Schritt 4 von 4 – letzter Schritt Wohin dürfen wir liefern?

Nur noch Name und E-Mail – dorthin schicken wir den fertigen Entwurf Ihrer Website.

Hierhin schicken wir zuerst den Bestätigungslink, dann Ihren fertigen Entwurf.

Sie erhalten gleich eine E-Mail mit Bestätigungslink. Erst nach Ihrer Bestätigung legen wir los. Der Link gilt 7 Tage.

  • Kostenlos und unverbindlich – keine Zahlungsdaten nötig
  • Für den Entwurf: kein Abo, keine Verlängerung, kein Anruf-Marketing
  • Ihre Angaben nutzen wir ausschließlich für diese Anfrage

Mit * markierte Angaben sind Pflicht, alles andere ist freiwillig. Die Übertragung erfolgt verschlüsselt. Für die Erstellung Ihres Entwurfs gelten unsere Allgemeinen Geschäftsbedingungen.

Nach dem Absenden: Sie erhalten gleich eine E-Mail mit Bestätigungslink. Erst nach Ihrer Bestätigung legen wir los – wir lesen Ihre Angaben, die KI-Agentur baut Ihre Website, und Sie bekommen den Link zu Ihrem Entwurf per E-Mail, in unter 24 Stunden und ohne Anruf.

Jede spätere Änderung beauftragen Sie mit einem Satz. Gebucht wird erst zum Überarbeiten und Live-Stellen, ab 14,99 € netto im Monat im Jahresvertrag (Monatsvertrag 17,99 €) – alle Preise ansehen.

Angebot ausschließlich für Unternehmer (§ 14 BGB), juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Alle Preise netto zzgl. gesetzlicher Umsatzsteuer.

Echte Websites aus dem Builder: cortexion.ai deutsche-tanktechnik.de lichtmast-mieten.de und diese Website selbst

Was Security-Header nicht leisten

Security-Header sagen dem Browser, wie er Ihre Seite sicher anzeigen soll. Sie sind eine zusätzliche Schutzschicht, mehr nicht:

  • Sie ersetzen keine Updates: Eine Lücke in veralteter Software, etwa im Website-System, in einer Erweiterung oder in PHP, bleibt offen, bis ein Update sie schließt.
  • Sie ersetzen keine sicheren Passwörter: Wer die Zugangsdaten zur Verwaltung Ihrer Website kennt, kommt trotz aller Header hinein.
  • Sie schützen nicht vor Fehlern im Code: Eine Lücke in einem Formular oder einer Erweiterung schließen Header nicht. Eine gut eingestellte Content-Security-Policy kann die Folgen mancher Lücken nur begrenzen.
  • Sie wirken im Browser Ihrer Besucher: Angriffe direkt auf Ihren Server halten sie nicht ab.

Prüfen Sie deshalb auch, ob Website-System, Erweiterungen und PHP aktuell sind.

So prüfen wir

Das Werkzeug liest die Header, die Ihr Server mit der Startseite schickt – dieselbe Antwort, die auch der Website-Check auswertet. Es ruft dafür nichts zusätzlich ab und zeigt jeden Header als eigenen Punkt.

Der Weg zum Ergebnis

  1. Aus Ihrer Eingabe wird der reine Domainname. Wir prüfen nur Websites, die öffentlich im Internet stehen; zeigt die Domain oder eine Weiterleitung auf eine interne Adresse, brechen wir ab.
  2. Unser Server ruft die Startseite über https:// und http:// auf und folgt höchstens 3 Weiterleitungen. Ausgewertet werden die Header der letzten Antwort über https://; kommt dort keine Verbindung zustande, die der letzten Antwort über http://.
  3. Antwortet die Startseite am Ende nicht mit einem Status von 200 bis 299, bewerten wir nichts: Eine Fehlerseite kann andere Header senden als die Startseite.
  4. Groß- und Kleinschreibung der Header-Namen zählt nicht. Kommt ein Header mehrfach vor, werten wir ihn so, wie Browser es tun: bei HSTS gilt der erste, bei der Content-Security-Policy gelten alle zusammen.
  5. HSTS bewerten wir nur, wenn die Startseite über https:// mit gültigem Zertifikat antwortet. In Ordnung ist max-age ab 180 Tagen, wie im Website-Check; das ist ein Richtwert. Fehlt der Header, fehlt max-age, steht max-age auf 0 oder auf weniger Tagen, ist das eine Warnung.
  6. Der Website-Check bewertet fünf Header zusammen als einen Punkt: Content-Security-Policy, X-Content-Type-Options, Schutz vor Einbettung, Referrer-Policy und Permissions-Policy. Ab 4 gesetzten ist dieser Punkt in Ordnung, ab 2 eine Warnung, darunter ein Fehler.
  7. Das Werkzeug zeigt diese fünf einzeln und folgt der Gewichtung des Checks: Fehlen Schutz vor Einbettung, X-Content-Type-Options oder Referrer-Policy, ist das ein Hinweis, solange der Punkt im Check noch in Ordnung wäre, sonst eine Warnung. Fehlen Content-Security-Policy oder Permissions-Policy, ist das immer ein Hinweis; bei kleinen Websites ist beides üblich.
  8. Content-Security-Policy ist in Ordnung, wenn der Header gesetzt ist. Steht nur Content-Security-Policy-Report-Only da, ist das ein Hinweis: Dann meldet der Browser Verstöße, blockiert aber nichts.
  9. Schutz vor Einbettung ist in Ordnung mit frame-ancestors in der Content-Security-Policy oder mit X-Frame-Options auf DENY oder SAMEORIGIN. Andere Werte wie ALLOW-FROM beachten aktuelle Browser nicht.
  10. X-Content-Type-Options ist mit nosniff in Ordnung, Referrer-Policy mit einem gültigen Wert und Permissions-Policy, sobald sie gesetzt ist.
  11. Versionsangaben: Nennt der Header Server oder X-Powered-By eine Versionsnummer wie „Apache/2.4“ oder „PHP/8.3“, ist das eine Warnung. Ohne Nummer, etwa nur „Apache“, ist der Punkt in Ordnung.
  12. Das Ergebnis einer Domain bewahren wir 10 Minuten auf. Wird sie in dieser Zeit noch einmal geprüft, zeigen wir es mit der Uhrzeit der ursprünglichen Prüfung.

Annahmen und Grenzen

  • Geprüft wird die Startseite. Unterseiten, Bilder und andere Dateien können andere Header senden.
  • Wir werten nur HTTP-Header aus. Eine Content-Security-Policy in einem meta-Tag im HTML sieht das Werkzeug nicht; frame-ancestors und X-Frame-Options wirken dort ohnehin nicht.
  • Ob eine gesetzte Content-Security-Policy oder Permissions-Policy gut schützt, bewertet das Werkzeug nicht. Es zeigt nur, ob sie gesetzt ist.
  • Unser Server ruft Ihre Website als Prüfwerkzeug auf, nicht als Browser. Sendet Ihr Server oder ein vorgeschalteter Dienst Browsern andere Header, sieht die Prüfung das nicht.
  • Das Ergebnis speichern wir mit Domain und Prüfzeit 10 Minuten lang, ohne Bezug zu Ihnen. Zum Schutz vor Missbrauch sind je Besucher 20 Prüfungen in der Stunde möglich und je Domain 30 Prüfungen in der Stunde über alle Besucher.

Häufige Fragen

Fragen zu diesem Werkzeug

Etwas offen geblieben? Schreiben Sie uns per E-Mail an hello@cortexion.ai oder unter +49 221 67763990.

Security-Header sind Angaben, die Ihr Server mit jeder Seite an den Browser schickt. Sie stehen nicht auf der Seite selbst, sondern im Kopf der Antwort. Mit ihnen sagt Ihr Server dem Browser zum Beispiel, dass er die Seite nur verschlüsselt laden soll, dass fremde Websites sie nicht einbetten dürfen und aus welchen Quellen sie Dateien laden darf. Der Browser hält sich daran und schützt so Ihre Besucher.

Erstellt vom Cortexion-Team · Stand:

Dazu im Ratgeber

Das könnte Sie auch interessieren