HTTP-Header-Inspektor

Was ist ein HTTP-Header-Analyzer?

Ein HTTP-Header-Analyzer zeigt die Anfrage- und Antwort-Header an, die zwischen Ihrem Browser und einem Webserver ausgetauscht werden. Header steuern Caching, Sicherheit, Inhaltstyp und viele andere Aspekte der Webkommunikation.

HTTP-Header sind unsichtbare Metadaten, die jeder Webanfrage und -antwort beigefuegt sind. Sie bestimmen, wie Browser Inhalte rendern, wie lange sie gecacht werden und welche Sicherheitsrichtlinien gelten.

Wichtige HTTP-Header

• Content-Type — gibt den Medientyp des Inhalts an (text/html, application/json, image/png). Browser verwenden diesen Header, um den Inhalt korrekt darzustellen.
• Cache-Control — steuert das Caching-Verhalten. max-age=3600 bedeutet 1 Stunde cachen, no-cache erzwingt Revalidierung.
• Content-Security-Policy (CSP) — definiert erlaubte Quellen fuer Skripte, Stile und andere Ressourcen. Schuetzt vor XSS-Angriffen.
• Strict-Transport-Security (HSTS) — erzwingt HTTPS-Verbindungen. max-age=31536000 bedeutet 1 Jahr nur HTTPS.
• X-Frame-Options — verhindert, dass Ihre Seite in einem iframe eingebettet wird. Schuetzt vor Clickjacking-Angriffen.

So verwenden Sie dieses Tool

Geben Sie eine URL ein und das Tool zeigt alle Anfrage- und Antwort-Header mit Erklaerungen an. Sicherheitsrelevante Header werden besonders hervorgehoben und mit Empfehlungen versehen.

Caching-Header verstehen

Effektives Caching kann die Ladezeit dramatisch verkuerzen. Cache-Control, ETag und Last-Modified arbeiten zusammen: Cache-Control bestimmt wie lange, ETag ermoeglicht effiziente Revalidierung.

Beispiel aus der Praxis

Führe das Werkzeug für https://example.com aus, und es liefert eine HEAD-Antwort zurück. Ein typisches Ergebnis zeigt content-type: text/html; charset=utf-8, cache-control: max-age=3600 und eine strict-transport-security-Zeile. Das Statusfeld zeigt 200 neben der Anzahl der Header und der Antwortzeit. Fehlt strict-transport-security in der Sicherheitsliste, erzwingt die Website HTTPS nicht auf Browserebene — eine mit einer einzigen Serverzeile behebbare Lücke.

Häufige Fehler

Die größte Überraschung ist ein leeres Ergebnis, obwohl die Seite im Browser problemlos lädt. Fast immer liegt das an CORS: Ein Cross-Origin-Fetch kann nur Header lesen, die der Server mit Access-Control-Allow-Origin freigibt, daher liefern die meisten fremden Seiten eine undurchsichtige Antwort. Ein weiterer Fehler ist, ein fehlendes x-frame-options als harmlos zu betrachten — ohne diesen Header oder eine frame-ancestors-CSP-Direktive lässt sich die Seite in einen Clickjacking-Rahmen einbetten.

Haeufig gestellte Fragen

Welche Sicherheitsheader sollte jede Website haben?

Mindestens: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Content-Type-Options: nosniff, X-Frame-Options und Referrer-Policy. Diese schuetzen vor den haeufigsten Webangriffen.

Was ist der Unterschied zwischen Anfrage- und Antwort-Headern?

Anfrage-Header werden vom Browser an den Server gesendet (User-Agent, Accept, Cookie). Antwort-Header werden vom Server an den Browser gesendet (Content-Type, Set-Cookie, Cache-Control).

Warum sehe ich nicht alle Header?

Browser verbergen bei Cross-Origin-Anfragen die meisten Antwort-Header, sofern der Server dies nicht per CORS erlaubt. Serverseitige Werkzeuge wie curl -I oder das Dashboard deines Hosters zeigen den vollständigen Satz. Dieses Werkzeug spiegelt genau das wider, was clientseitiges JavaScript lesen darf.