Prüfe, welche Security-Header deine WordPress-Website sendet – und wie du sie verbesserst.
HTTP Security Headers sind Antwort-Header, die dein Webserver bei jeder Anfrage mitschickt. Sie teilen dem Browser mit, wie er deine Website sicherer darstellen soll – unsichtbar für Besucher, aber entscheidend für die Sicherheit.
Füge die Response-Header deiner Website ein und erhalte einen Security Score, eine Detail-Analyse pro Header sowie fertigen WordPress-Code zum Nachrüsten fehlender Header.
Chrome/Edge: DevTools öffnen (F12) → Network-Tab → Seite neu laden → Request anklicken → Reiter „Headers" → „Response Headers" markieren und kopieren.
Firefox: DevTools öffnen (F12) → Netzwerkanalyse → Request anklicken → „Antwort-Header" → per Rechtsklick „Alle kopieren".
Alle geprüften Header sind bereits optimal konfiguriert – nichts zu exportieren.
HTTP Security Headers sind Antwort-Header, die dein Webserver bei jeder Anfrage mitschickt. Sie teilen dem Browser mit, wie er deine Website sicherer darstellen soll – z. B. welche Ressourcen geladen werden dürfen, ob die Seite in einem iFrame eingebettet werden kann, und ob nur verschlüsselte Verbindungen erlaubt sind.
Sie sind unsichtbar für Besucher, aber entscheidend für die Sicherheit: Ohne sie überlässt du Browsern viele Entscheidungen, die Angreifer ausnutzen können.
WordPress ist das meistgenutzte CMS weltweit – und damit auch das häufigste Angriffsziel. Viele Angriffe (Clickjacking, MIME-Sniffing, XSS) können durch korrekt gesetzte Security Headers verhindert oder deutlich erschwert werden. Standard-WordPress-Installationen senden diese Header nicht automatisch.
Nutze den Export-Bereich oben, um für alle fehlenden oder schwachen Header fertigen Code für .htaccess, nginx oder functions.php (PHP) zu erhalten – zugeschnitten auf deine tatsächlichen Ergebnisse.
HTTP-Response-Header sind Anweisungen deines Servers an den Browser, wie er deine Seite sicherer darstellen soll. Ein Check zeigt dir, welche dieser Schutzmechanismen fehlen oder falsch konfiguriert sind – bevor sie von Angreifern ausgenutzt werden.
Diese Website ist rein statisch gehostet und führt keine serverseitigen Requests aus – auch aus Datenschutz- und Sicherheitsgründen. Der Vorteil: Das Tool funktioniert genauso für localhost, Staging-Umgebungen hinter Basic-Auth oder interne Netzwerke – du musst nur die Header aus deinen eigenen DevTools kopieren.
Chrome/Edge: DevTools öffnen (F12), zum Network-Tab wechseln, Seite neu laden, den ersten Request anklicken, im Reiter "Headers" den Bereich "Response Headers" markieren und kopieren. Firefox: DevTools öffnen (F12), Netzwerkanalyse öffnen, Request anklicken, unter "Antwort-Header" per Rechtsklick "Alle kopieren" wählen.
Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-XSS-Protection und Cross-Origin-Opener-Policy.
Jeder Header ist nach seiner Sicherheitswirkung gewichtet (3 bis 30 Punkte, insgesamt 100). Der Gesamtscore ergibt vier Stufen: 90–100 Ausgezeichnet, 70–89 Gut, 40–69 Verbesserungsbedarf, 0–39 Kritisch.
CSP ist mit 30 von 100 Punkten der am stärksten gewichtete Header, weil er der wirksamste Schutz gegen Cross-Site-Scripting ist. Fehlt er, kann eingeschleuster JavaScript-Code ungehindert ausgeführt werden.
Nutze nach dem Check den Export-Bereich: Er liefert dir fertigen Code für .htaccess, nginx oder ein PHP-Snippet für die functions.php – jeweils nur für die Header, die bei dir fehlen oder schwach konfiguriert sind.
Ja. Da das Tool keine eigene Anfrage an deine Website stellt, funktioniert es mit jeder URL – egal ob localhost, Staging hinter Passwortschutz oder internes Netzwerk. Kopiere einfach die Header aus den DevTools der jeweiligen Umgebung.