01
Grenzen der Presets lesen
Ausgewogen erlaubt drei Browserfunktionen für self; Datenschutz setzt sie auf none. Separate HSTS- und CORS-Werte bleiben beim Wechsel bestehen.
- Ein Preset ist keine Sicherheitsnote.
Web-Sicherheit
Sicherheitsheader-GeneratorRichtlinien vor dem Einsatz prüfen
Wählen Sie einen Entwurf, prüfen Sie die einzelnen Header und lesen Sie Hinweise vor der Übernahme.
Sicherheitsheader-Generator
Preset: Ausgewogener Entwurf
Referrer-Policy: Streng bei fremdem Ursprung
Permissions-Policy: Kamera · Eigener Ursprung (self) / Mikrofon · Eigener Ursprung (self) / Standort · Eigener Ursprung (self)
HSTS: Weglassen
CORS-Beispiel: Weglassen
Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)
Alle Werte bleiben in diesem Browser; es erfolgt keine Anfrage an Ihre Domain.
Optionen
Permissions-Policy
HSTS
HSTS wirkt nur aus HTTPS-Antworten. Testen Sie zuerst kurz; preload setzt mindestens ein Jahr und vorbereitete Subdomains voraus.
CORS-Beispiel
Geben Sie * oder genau einen http(s)-Ursprung ohne Pfad an. Credentials und * dürfen nicht zusammen verwendet werden.
Erklärung der Header
Referrer-Policy: strict-origin-when-cross-originDie Wahl bestimmt, welche Referer-Informationen der Browser sendet.
Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)Eine leere Erlaubnisliste sperrt die Funktion; self erlaubt denselben Ursprung.
Warnungen
Keine Warnungen für diesen Entwurf.
2 Header bereit · 0 Warnungen
Wer HTTP-Sicherheitsheader aus einem fremden Beispiel übernimmt, sieht oft nicht, ob eine Zeile Kamera, Referrer oder Subdomains betrifft. Der Sicherheitsheader-Generator stellt diese Entscheidungen einzeln dar.
Eine Response-Header-Vorlage ersetzt weder einen Test am Webserver noch eine TLS-Prüfung. Die Ausgabe bleibt ein Textentwurf, auch wenn Sie HSTS konfigurieren.
Warum dieser Sicherheitsheader-Generator
Die riskanten Optionen bleiben sichtbar und zunächst ausgeschaltet.
Richtlinien ohne versteckte Kopplung
Der Sicherheitsheader-Generator zeigt Permissions-Policy und Referrer-Policy getrennt. Ein Datenschutz-Preset verändert HSTS und CORS nicht im Hintergrund.
HSTS schrittweise ausprobieren
Der voreingestellte max-age-Wert beträgt 300 Sekunden, HSTS ist aber aus. Eine explizite CORS-Origin vermeidet die Kombination aus Wildcard und Credentials.
Drei Prüfungen vor dem Einbau
02
HSTS vorsichtig aktivieren
Starten Sie mit 300 Sekunden. Für preload verlangt der Generator mindestens ein Jahr und includeSubDomains; das ist noch keine Aufnahme in eine Browserliste.
- Für Credentials darf Access-Control-Allow-Origin kein * sein.
03
Nur frische Ausgabe verwenden
Nach Änderungen wartet die Automatik 350 ms. Im manuellen Modus startet Ctrl/Cmd+Enter; ein veraltetes Ergebnis lässt sich nicht kopieren.
- Beispiel und Leeren zeigen vor dem Überschreiben eine Vorschau mit einmaligem Rückgängig.
Vier begrenzte Gruppen von Response-Headern
Referrer gezielt begrenzen
Wählen Sie einen von vier Referrer-Policy-Werten, statt alle Links mit derselben Annahme über Referer-Daten zu behandeln.
Browserfunktionen einzeln steuern
Kamera, Mikrofon und Standort lassen sich in Permissions-Policy jeweils auf self oder none setzen.
Transport und CORS optional
HSTS und CORS-Header erscheinen nur nach Aktivierung der jeweiligen Gruppe.
Wo der Entwurf bewusst endet
- Keine allgemeingültige Schutzstufe
- Der Sicherheitsheader-Generator kennt weder Zertifikate noch Skripte oder Subdomains Ihrer Site und erzeugt deshalb weder CSP noch eine A+-Bewertung.
- HSTS kann Zugriffe blockieren
- Ein Browser merkt sich HSTS aus gültigen HTTPS-Antworten. includeSubDomains erfasst auch Hosts ohne vorbereitetes HTTPS.
- CORS ersetzt keine Anmeldung
- Der Beispiel-Origin begrenzt das Lesen einer Antwort im Browser; Autorisierung und CSRF-Schutz müssen serverseitig erfolgen.
Fragen zum Sicherheitsheader-Generator
Welche max-age soll ich nutzen?
Für einen ersten Test sind 300 Sekunden ein vorsichtiger Anfang. Verlängern Sie max-age erst, wenn Zertifikate und Weiterleitungen zuverlässig funktionieren.
Sperrt HSTS mich aus, wenn HTTPS bricht?
Ja. Nach einer gültigen HTTPS-Antwort erzwingt der Browser HTTPS für die gespeicherte Dauer; ein kaputtes Zertifikat lässt sich dabei nicht einfach umgehen.
Was, wenn ich keine Kontrolle über Subdomains habe?
Aktivieren Sie includeSubDomains nicht, solange Sie deren HTTPS-Betrieb nicht kontrollieren. Der Generator lässt die Option deshalb standardmäßig aus.
Fragt der Browser nicht ohnehin um Erlaubnis?
Bei Permissions-Policy verhindert none die Freigabe einer Funktion; eine Berechtigungsabfrage kann dann ausbleiben. self lässt die Funktion für denselben Ursprung zu.
Ersetzt das den alten Feature-Policy-Header?
Permissions-Policy ist der aktuelle Header für diese Funktionsregeln. Der Generator erzeugt keinen zusätzlichen Feature-Policy-Header.
Stimmt etwas nicht?
Sicherheitsheader-Generator jetzt testen
Ändern Sie eine Richtlinie, lesen Sie ihre Folgen und übernehmen Sie nur die aktuelle Ausgabe.