Zertifikats- und Sicherheits-Header-Prüfung
Ist das Zertifikat einer Website gültig, und wie lange noch? Erzwingt sie HTTPS? Sendet sie die Header, die ihre Besucher schützen? Ein Blick, eine Bewertung und was zu ändern ist. Empfehlungen zu TLS gibt das BSI in der TR-02102-2.
Wir rufen die Startseite von unseren Servern ab, wie ein Browser (über HTTP, dann HTTPS, mit bis zu drei Weiterleitungen), und sonst nichts.
Fragen
Warum eine Bewertung?
Sie fasst die Befunde unten zusammen: Ein fehlerhaftes Zertifikat oder eine Website ohne HTTPS kostet viel, ein fehlender Header wenig. Eine Orientierung, keine Zertifizierung.
Welche Header sind am wichtigsten?
HSTS (immer HTTPS), Content-Security-Policy (was die Seite laden und ausführen darf), Schutz vor Einbettung in Frames und nosniff. Die meisten Hoster und CDNs lassen Sie sie in ihren Einstellungen hinzufügen.
Speichern Sie etwas?
Das Ergebnis wird zehn Minuten aufbewahrt, damit dieselbe Website nicht immer wieder abgefragt wird, und dann vergessen. Ihre Adresse dient nur dazu, Missbrauch zu begrenzen.