Was zeigt der HTTP-Headers-Inspektor?
URL einfuegen, Check druecken, und unser Server laeuft die Redirect-Kette Hop fuer Hop ab (bis zu 5 Hops), erfasst pro Hop Statuscode, Header und Timing und bewertet dann die Security-Header der finalen Seite von A bis F.
Du siehst genau das, was ein Browser auf der Leitung sieht: jeden Redirect, jedes Set-Cookie, jedes Cache-Control, jede CORS-Zeile. Plus eine Security-Karte, die dir in Klartext sagt, ob Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy gesetzt sind, plus je einen Bonuspunkt fuer eine versteckte Server-Version und entferntes X-Powered-By.
Fuer jeden fehlenden Header gibt es eine konkrete Config-Zeile, fertig zum Einfuegen in nginx, Apache, Express oder dein CDN.
So benutzt du es
- Die volle URL einfuegen (z. B. `https://deine-site.de`). Ohne `https://` ergaenzen wir es.
- Check klicken oder Enter druecken. Der Server hat 8 Sekunden pro Hop und 20 Sekunden Gesamtbudget. Typische Laufzeit: 200 bis 800 ms.
- Die Redirect-Kette von oben nach unten lesen: Hop 1, Hop 2, etc. Jeder zeigt URL, Statuscode (`301`, `302`, `308`) und wie lange der Server gebraucht hat.
- Die Security-Score-Karte anschauen: ein Buchstabe A bis F plus eine numerische Bewertung von 10. Jede Saeule (HSTS, CSP, ...) ist eine Zeile mit gruenem Haken oder rotem Kreuz und einem Einzeiler-Fix.
- All response headers (final hop) oeffnen, um jeden einzelnen Header gruppiert nach Security, Caching, CORS, Server, Sonstiges zu sehen. Den noetigen Wert mit einem Klick kopieren.
Wann das nuetzlich ist
Sieben Alltagssituationen, in denen du die Header selbst inspizieren willst:
- Eine neue Landingpage geht live. Verifiziere, dass die Redirect-Kette kurz ist (maximal ein 301) und dass HSTS, CSP und X-Content-Type-Options stehen, bevor das Marketing die URL pusht.
- Deine Seite hat ein B auf securityheaders.com. Nutze die Aufschluesselung, um zu sehen, welche zwei Header dich das A gekostet haben, und kopiere die empfohlenen Zeilen in nginx.
- Caching verhaelt sich seltsam. Inspiziere Cache-Control, ETag, Last-Modified, Vary im finalen Hop. Wenn du `Cache-Control: no-store` siehst, wo du `max-age=3600` erwartet hattest, weisst du, dass CDN/Origin Header strippen.
- CORS-Fehler im Browser. Pruefe Access-Control-Allow-Origin / -Methods / -Headers / -Credentials am fehlerhaften Endpoint. Der Inspektor zeigt die exakten Server-Werte, ohne DevTools-Akrobatik.
- Verdaechtige Redirects. Manche Marketing-Tools verketten 4 bis 5 Redirects ueber Tracking-Domains. Die Hop-Liste zeigt dir jeden Schritt und das Per-Hop-Timing, damit du den langsamen findest.
- CDN-Debugging. Vergleiche Header am Origin vs CDN-Edge. Unterschiedliche X-Cache, Age, Server, Via-Werte sagen dir, ob das CDN aus dem Cache ausliefert oder frisch zieht.
- Compliance-Audit. Eine Security-Checkliste verlangt HSTS-Preload, kein X-Powered-By und Permissions-Policy. Der Inspektor bestaetigt oder verneint jedes Item mit kopierbarer Empfehlung.