So funktioniert’s
- 1Gib eine URL wie
https://example.com/pageein oder einfach eine Domain –https://wird automatisch ergänzt. - 2Klicke auf „Header prüfen“. Jede Weiterleitung wird Schritt für Schritt verfolgt, bis zu 10 Weiterleitungen.
- 3Lies die Weiterleitungskette: Jeder Schritt zeigt Statuscode, Adresse und Antwortzeit. Öffne einen Schritt, um seine Header zu sehen.
- 4Prüfe die Sicherheits-Header und alle Antwort-Header der endgültigen Seite und kopiere sie, wenn du sie weitergeben möchtest.
Was HTTP-Statuscodes bedeuten
Jede Antwort beginnt mit einem dreistelligen Statuscode. 2xx bedeutet Erfolg – 200 OK ist eine normale Seite. 3xx-Codes sind Weiterleitungen, die den Browser woandershin schicken. 4xx-Codes sind Client-Fehler wie 404 Not Found oder 403 Forbidden, und 5xx-Codes bedeuten, dass der Server einen Fehler hatte, etwa 500 Internal Server Error oder 503 Service Unavailable.
Zusammen mit dem Statuscode werden Header übertragen. Diese sagen dem Browser, um welchen Inhalt es sich handelt (Content-Type), wie lange er zwischengespeichert werden darf (Cache-Control), welche Cookies er speichern soll (Set-Cookie) und vieles mehr – Informationen, die du auf der Seite selbst nie siehst.
Weiterleitungen: 301, 302, 307 und 308
301 Moved Permanently und 308 Permanent Redirect teilen Browsern und Suchmaschinen mit, dass eine Seite dauerhaft umgezogen ist – Links und Rankings gehen auf die neue Adresse über. 302 Found und 307 Temporary Redirect bedeuten, dass der Umzug vorübergehend ist und die alte URL in den Suchergebnissen bleibt. 307 und 308 garantieren außerdem, dass sich die Anfragemethode nicht ändert, was für Formulare und APIs wichtig ist.
Jeder zusätzliche Schritt kostet einen Roundtrip und verlangsamt den ersten Besuch. Leite alte URLs daher direkt auf ihre endgültige Adresse weiter – http://example.com direkt auf https://www.example.com/, nicht über zwei Schritte. Google folgt bis zu 10 Weiterleitungen hintereinander, Browser etwa 20; Schleifen enden nie.
Sicherheits-Header, die sich lohnen
Strict-Transport-Security (HSTS) sorgt dafür, dass Browser für deine Website HTTPS verwenden, selbst wenn jemand http:// eintippt. Content-Security-Policy legt fest, woher Skripte und andere Ressourcen geladen werden dürfen, und entschärft so Cross-Site-Scripting. X-Content-Type-Options: nosniff hindert Browser daran, Dateitypen zu erraten, und frame-ancestors oder X-Frame-Options verhindert, dass andere Websites deine Seiten für Clickjacking in Frames einbetten.
Referrer-Policy steuert, wie viel von deinen URLs an andere Websites gesendet wird, und Permissions-Policy schaltet Browserfunktionen ab, die du nicht nutzt, etwa die Kamera oder die Standortabfrage. Keiner dieser Header ersetzt sicheren Code, aber zusammen schließen sie mit wenig Aufwand häufige Lücken.
Häufige Fragen
Wie prüfe ich, ob eine Weiterleitung ein 301 oder ein 302 ist?
Gib die alte URL ein und sieh dir die Weiterleitungskette an: Jeder Schritt zeigt seinen Statuscode. 301 und 308 sind dauerhaft, 302 und 307 vorübergehend. Die Kette zeigt außerdem, wohin jede Weiterleitung führt, sodass du unnötige Zwischenschritte erkennst.
Wie kann ich die HTTP-Header einer Website sehen?
Gib die Adresse hier ein – die vollständigen Antwort-Header der endgültigen Seite werden am Ende aufgelistet. Im Browser öffnest du die Entwicklertools (F12), wählst den Tab „Netzwerk“ und klickst auf die erste Anfrage. Im Terminal gibt curl -I https://example.com die Header aus.
Warum zeigt dieser Check andere Header als mein Browser?
Server können je nach Anfrage unterschiedlich antworten. Dein Browser sendet Cookies, unterstützt Komprimierung und hat einen eigenen User-Agent, und ein CDN liefert vielleicht eine zwischengespeicherte oder regionale Kopie aus. Dieses Tool sendet von unserem Server eine einfache Anfrage ohne Cookies – ähnlich wie der Crawler einer Suchmaschine.
Wodurch entsteht eine Weiterleitungsschleife?
Die Weiterleitungen führen zurück zu einer bereits besuchten Adresse, sodass der Browser nie eine Seite erreicht und „Zu viele Weiterleitungen“ anzeigt. Meist widersprechen sich zwei Regeln – zum Beispiel leitet ein CDN HTTP auf HTTPS um, während der Server HTTPS zurück auf HTTP umleitet – oder eine Login-Weiterleitung hängt von einem Cookie ab.
Welche Sicherheits-Header sollte jede Website haben?
Mindestens Strict-Transport-Security, X-Content-Type-Options: nosniff, einen Frame-Schutz mit frame-ancestors oder X-Frame-Options und eine Referrer-Policy. Eine Content-Security-Policy schützt am besten, muss aber getestet werden – starte mit einer Report-Only-Richtlinie und setze sie durch, sobald nichts mehr kaputtgeht.