Web-Security-Header-Tools
Eine Webapp abzusichern heißt, eine Handvoll Response-Header richtig zu setzen: eine Content-Security-Policy, die die geschützte App nicht kaputt macht, Subresource-Integrity-Hashes für Drittanbieter-Skripte, und Cookies mit den richtigen Sicherheits-Flags. Diese Tools lassen diese Konfiguration entwerfen und prüfen, bevor sie in Produktion geht, ausgehend vom bereits vorhandenen Header oder Skripttext.
CSP-Generator eignet sich, um Ressourcen-Matching gegen eine Entwurfs-Policy zu testen, ohne echte Anfragen an die eigene Seite zu senden, und Sicherheitsheader-Generator für das breitere Set aus CORS, HSTS und verwandten Headern zusammen. SRI-Hash-Generator erzeugt das Integrity-Attribut für eine bestimmte Skript- oder Stylesheet-Datei, und Cookie Parser liest Cookie- und Set-Cookie-Header getrennt, sodass Flags wie Secure und SameSite leicht zu prüfen sind. Alles läuft im Browser.
5 Tools
Alle Web Security Config-Tools
-
SRI-Hash-Generator
SRI-Hashes aus Datei oder Text in SHA-256, SHA-384 oder SHA-512 berechnen und mit vorhandenem Token vergleichen
-
Cookie Parser
Cookie und Set-Cookie Header analysieren und Attribute prüfen
-
Sicherheitsheader-Generator
Sicherheitsheader wie Permissions-Policy, HSTS und Referrer-Policy zusammenstellen und Warnungen vor der Übernahme lesen
-
CSP-Generator
Content-Security-Policy-Header schreiben und Sicherheitsregeln definieren
-
JWT-Decoder
JWT-Token dekodieren und Claims mit Zeit-Angaben prüfen
FAQ zu Web Security Config-Tools
Eine CSP arbeitet nach Allow-List-Prinzip, sodass alles, was kein Source-Ausdruck explizit erfasst, standardmäßig blockiert wird, inklusive Inline-Skripten, sofern man sie nicht erlaubt. CSP-Generator lässt testen, wie eine Entwurfs-Policy bestimmte Ressourcen-URLs matcht, bevor man sie deployt, ohne echte Anfragen zu senden.
Es verhindert, dass ein kompromittiertes oder manipuliertes Drittanbieter-Skript oder -Stylesheet ausgeführt wird, indem der Browser die geladene Datei hasht und mit dem Integrity-Wert vergleicht, bevor er sie ausführt. SRI-Hash-Generator berechnet diesen Hash für ein bestimmtes Skript oder Stylesheet zum Einfügen in den Tag.
Set-Cookie wird vom Server gesendet, um ein Cookie zu setzen oder zu ändern, und kann Flags wie Secure, HttpOnly und SameSite tragen; Cookie wird vom Browser bei späteren Anfragen gesendet und trägt nur Name-Wert-Paare. Cookie Parser untersucht beide getrennt, sodass Probleme mit Flags leicht auffallen.