HTTP-Header-Prüfer

Häufige Probleme und ihre Behebung

• Fehler Der Header HSTS fehlt Lösung: Sende Strict-Transport-Security in HTTPS-Antworten. Beginne mit einem getesteten max-age und erweitere erst dann auf includeSubDomains, wenn jede Unterdomain vollständig über HTTPS erreichbar ist.
• Warnung Die HSTS-Gültigkeitsdauer ist zu kurz Lösung: Erhöhe den max-age-Wert von Strict-Transport-Security auf mindestens 31.536.000 Sekunden, nachdem du bestätigt hast, dass HTTPS auf allen abgedeckten Rechnernamen funktioniert.
• Fehler Die Richtlinie zur Inhaltssicherheit fehlt Lösung: Füge eine Content-Security-Policy hinzu, die nur die tatsächlich benötigten Skripte, Stile, Bilder, Rahmen und Verbindungen freigibt. Verschärfe sie anschließend vom Modus report-only zur Durchsetzung.
• Warnung Der Schutz vor unerlaubter Einbettung fehlt Lösung: Setze frame-ancestors in der Content-Security-Policy auf die Ursprünge, die die Seite einbetten dürfen. Verwende alternativ X-Frame-Options: DENY, wenn Einbettung nie erlaubt ist.
• Warnung Die Referrer-Policy fehlt Lösung: Setze Referrer-Policy auf strict-origin-when-cross-origin oder auf eine strengere Richtlinie, die weiterhin die Analyseanforderungen der Website unterstützt.
• Warnung Die Verweisrichtlinie gibt vollständige URLs preis Lösung: Vermeide die beiden folgenden Richtlinienwerte: unsafe-url origin-when-cross-origin Verwende stattdessen: strict-origin-when-cross-origin So legen Anfragen an fremde Ursprünge keine vollständigen Pfade oder Abfragezeichenfolgen offen; der Referrer bleibt auf den notwendigen Ursprung begrenzt.
• Information Die Richtlinie zur ursprungsübergreifenden Einbettung fehlt Lösung: Wenn die Seite ursprungsübergreifende Isolierung benötigt, setze Cross-Origin-Embedder-Policy: require-corp und stelle sicher, dass jede eingebettete ursprungsübergreifende Ressource ausdrücklich zustimmt. Dokumentiere andernfalls, dass keine Isolierung erforderlich ist.
• Fehler Mehrere kanonische HTTP-URLs sind vorhanden Lösung: Sende genau einen HTTP Link-Header mit rel="canonical" für die bevorzugte URL und entferne widersprüchliche kanonische Ziele am Randnetz oder Ursprungsserver.
• Fehler Vary: * verhindert die sinnvolle Zwischenspeicherung Lösung: Ersetze Vary: * durch genau die Anfrage-Header, welche die Antwort tatsächlich verändern, etwa Accept-Encoding oder Accept-Language, damit Zwischenspeicher sie wiederverwenden können.
• Warnung Die Antwort variiert je nach Kennung des Benutzerprogramms Lösung: Vermeide nach Möglichkeit, die vollständige Antwort anhand des User-Agent zu variieren. Nutze Funktionserkennung oder ein eng normalisiertes Gerätesignal und bestätige, dass Crawler gleichwertige Hauptinhalte erhalten.
• Warnung Googlebot erhält eine restriktive Cache-Steuerung Lösung: Entferne die speziell für Googlebot gesendete Cache-Steuerung no-store/private, sofern der Inhalt nicht tatsächlich personalisiert ist, und liefere dieselbe öffentlich cachebare Darstellung wie für andere Nutzer.
• Information Der Header Cache-Control fehlt Lösung: Lege eine ausdrückliche, zur Ressource passende Cache-Control-Richtlinie fest. Verwende public max-age/s-maxage für wiederverwendbare Inhalte oder no-store für wirklich vertrauliche Antworten.
• Information Der Header ETag fehlt Lösung: Füge für zwischenspeicherbare Antworten einen stabilen ETag- oder Last-Modified-Prüfer hinzu, damit die Empfänger unveränderte Inhalte erneut validieren können, ohne sie herunterzuladen.
• Fehler X-Robots-Tag blockiert die Indexierung Lösung: Entferne noindex aus dem X-Robots-Tag von URLs, die für die Suche vorgesehen sind. Prüfe anschließend die endgültige Antwort und fordere ein erneutes Crawling an.