Technik: was der Server sagt HTTP · Security

Statuscode, Weiterleitungen, Header und Sicherheit. Was der Browser sonst versteckt, steht hier auf einen Blick, mit fertigem Apache-Code für die Security-Header.

1Was ist das?

Der Bereich Technik zeigt den HTTP-Status, die Weiterleitungskette, wichtige Antwort-Header (Content-Type, Cache, X-Robots-Tag), Server-Software, IPv4 und IPv6, Zertifikat und die Security-Header mit einer Note von A bis F.

2Warum wichtig?

Eine Kette aus drei Weiterleitungen kostet Zeit und Ranking. Ein X-Robots-Tag: noindex im Header ist im HTML unsichtbar und nimmt die Seite trotzdem aus der Suche. Fehlende Security-Header machen die Seite angreifbar.

3Was TagSpion prüft

4So behebst du es

• Weiterleitungen direkt auf das Ziel zeigen lassen, nicht über Zwischenstationen.
• Security-Header in der .htaccess oder im vHost setzen. Den fertigen Block gibt es per „Fix“.
• CSP erst im Report-Only-Modus testen, sonst blockiert sie eigene Skripte.

# .htaccess or vHost - security headers (grade A)
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  # Test CSP first with Content-Security-Policy-Report-Only
  Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data:; style-src 'self'; script-src 'self'"
</IfModule>