🛡️ Security Header Check
Prüft HTTP-Sicherheits-Header (HSTS, CSP, X-Frame-Options) und liefert Server-Fixes.
Guide & Best Practices
Security Header Check mit Score und Fix-Empfehlungen
Finde fehlende oder schwache HTTP Security Header und erhalte konkrete Snippets für Nginx, Apache, Spring Security und moderne Hosting-Setups.
Typische Einsatzfälle
Der Check hilft nach Deployments, vor Security Reviews, bei Clickjacking-/XSS-Hardening, für Compliance-Baselines und beim Vergleich von Staging und Produktion.
So bewertet Balou Security Header
Das Tool ruft die Ziel-URL ab, kategorisiert relevante Header, bewertet Risiken und verknüpft CSP-Themen mit dem CSP Evaluator für tiefergehende Analyse.
Best Practices für Header-Hardening
Starte mit HSTS, CSP, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Teste Änderungen zuerst in Staging und dokumentiere Ausnahmen bewusst.
Häufige Fragen
Welche Header sind besonders wichtig?
HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options bzw. frame-ancestors und Referrer-Policy sind zentrale Basics.
Warum ist CSP nicht nur ein einzelner Header?
CSP muss zur Anwendung passen. Zu strenge Regeln brechen Ressourcen, zu breite Regeln reduzieren XSS-Schutz.
Kann ich Fix-Snippets direkt übernehmen?
Die Snippets sind sichere Ausgangspunkte, sollten aber gegen Anwendung, CDN und Hosting-Provider getestet werden.
Wie verbessere ich den Score?
Fehlende Header ergänzen, unsichere Wildcards vermeiden und CSP gezielt mit Nonces/Hashes härten.
Welche HSTS-Parameter sind sinnvoll?
Üblich ist „max-age=63072000; includeSubDomains; preload“, um HTTPS langfristig inklusive Subdomains zu erzwingen.
X-Frame-Options vs. CSP frame-ancestors?
frame-ancestors ist der moderne Ersatz für X-Frame-Options und steuert granular, wer die Seite einbetten darf.
Was macht die Referrer-Policy?
Sie steuert, welche Referrer-Informationen gesendet werden; „strict-origin-when-cross-origin“ ist eine sichere Default.