Security-Headers-Analyzer

Response-Header tragen den Großteil der echten, vom Browser erzwungenen Sicherheitsrichtlinie einer Website, doch sie mit bloßem Auge zu lesen, ist fehleranfällig: Eine Content-Security-Policy kann auf den ersten Blick strikt wirken, während sie stillschweigend 'unsafe-inline'-Skripte erlaubt, und ein Strict-Transport-Security-Header kann mit einem so kurzen max-age vorhanden sein, dass er kaum etwas bewirkt. Dieses Tool nimmt den rohen Header-Block, den Sie einfügen – direkt kopiert aus curl -I, Postman oder einer Anfrage im Netzwerk-Tab der Browser-DevTools – und unterzieht ihn derselben Kategorie von Prüfungen, die auch bekannte Online-Header-Bewerter verwenden, und zwar vollständig in Ihrem Browser. Es wird nichts abgerufen: Was immer Sie einfügen, ist alles, was analysiert wird, was bedeutet, dass es identisch für eine öffentliche Produktionsseite, einen internen Staging-Server oder einen Endpunkt hinter einer Firewall funktioniert, den kein externer Scanner jemals erreichen könnte.

Das Herzstück ist ein echter Content-Security-Policy-Grammatik-Parser, keine Checkliste. Der Wert des Headers wird an Semikolons in Direktiven aufgeteilt, und die Quellliste jeder Direktive wird für sich genommen aufgeteilt und geprüft: Skript- und stilbezogene Direktiven werden markiert, wenn sie 'unsafe-inline' oder 'unsafe-eval' erlauben, jede Direktive wird für eine reine Wildcard-Quelle '*' markiert (mit erhöhter Schwere, wenn sich diese Wildcard auf script-src, object-src, base-uri oder default-src befindet), breite Schema-Quellen wie 'https:' bei einer Skript-Direktive werden als fast so freizügig wie eine Wildcard beanstandet, und die gesamte Policy wird auf einen fehlenden default-src-Fallback sowie auf veraltete Direktiven (block-all-mixed-content, plugin-types, referrer, reflected-xss) überprüft, die moderne Browser schlicht ignorieren. Eine CSP, die nur als Content-Security-Policy-Report-Only gesendet wird, wird erkannt und als noch nicht tatsächlich durchgesetzt markiert, im Unterschied zu einer vollständig fehlenden Policy.

Über CSP hinaus prüft das Tool Strict-Transport-Security, indem es dessen eigene max-age-Direktive parst und Werte unter etwa sechs Monaten als zu kurz markiert, um sinnvoll wirksam zu sein, sowie ob includeSubDomains und preload gesetzt sind. X-Content-Type-Options muss exakt die Zeichenkette 'nosniff' sein, sonst wird es als von Browsern ignoriert markiert. X-Frame-Options wird auf DENY oder SAMEORIGIN geprüft, aber das Tool weiß auch, dass eine CSP-frame-ancestors-Direktive der moderne Ersatz für den Clickjacking-Schutz ist – ist diese vorhanden, wird X-Frame-Options als abgedeckt behandelt, selbst wenn der veraltete Header selbst fehlt. Referrer-Policy wird gegen die tatsächliche Liste gültiger Schlüsselwörter geprüft und markiert, wenn sie auf den URL-preisgebenden Wert 'unsafe-url' gesetzt ist, Permissions-Policy wird auf Vorhandensein geprüft, und jede gefundene Set-Cookie-Zeile wird auf ihre eigenen Secure-, HttpOnly- und SameSite-Attribute hin analysiert, einschließlich der spezifischen Regel, dass SameSite=None-Cookies ohne Secure von Browsern stillschweigend verworfen werden.

Jede Prüfung liefert einen von drei ehrlichen Zuständen – gut, braucht Aufmerksamkeit oder fehlt – mit einer verständlichen Erklärung, warum dieser Header für reale Angriffe (XSS, Clickjacking, Cookie-Diebstahl, Protokoll-Downgrade) wichtig ist, und die Gesamtnote A-F ist eine transparente Summe der Punkte pro Header, kein Blackbox-Score. Der vollständige Bericht kann mit einem Klick als Klartext kopiert werden, um ihn in einen Pull-Request, ein Ticket oder ein Sicherheitsreview einzufügen, und da das Parsen ausschließlich aus dem eingefügten Text geschieht, ist dieses Tool gleichermaßen nützlich, um die Header Ihrer eigenen Website zu auditieren, die Antwort eines Anbieters vor der Integration zu überprüfen oder eine Konfigurationsänderung vor der Bereitstellung noch einmal gegenzuchecken.