Bedienungsanleitung
Was es ist
Füge die Ausgabe von curl -I https://deine-seite ein, oder die Antwort-Header, die die Netzwerktools des Browsers kopieren, und es sagt dir, was fehlt oder falsch ist: CSP (auch wenn sie nur im Report-Only-Modus ist oder sich auf eine Liste von Domains verlässt), HSTS, die Flags und Präfixe der Cookies (Secure, HttpOnly, SameSite, __Host-), CORS, COOP, Permissions-Policy und die restlichen üblichen Sicherheits-Header.
Die Note
Der Buchstabe ergibt sich NUR aus der Anzahl der Funde jeder Schweregrad-Stufe, damit du ihn anhand der Liste nachvollziehen kannst: F mit etwas Kritischem, D mit 3 oder mehr Hoch, C mit 1 oder 2 Hoch, B mit 4 oder mehr Warnungen, A mit 1 bis 3 und A+ ohne jede (die «Info» zählen nicht). Mozilla Observatory vergibt einen anderen Buchstaben, indem es Punkte pro Prüfung abzieht, und seine eigene Dokumentation räumt ein, dass diese Gewichtungen willkürlich sind; hier gibt es keine Gewichtungen zu rechtfertigen.
Um deine eigenen Header zu erzeugen
Dieses Tool PRÜFT, was eine Seite bereits sendet. Wenn du die nginx- oder Apache-Konfiguration für dein eigenes Projekt willst, nutze das SPA-Konfigurationstool.
Woher weiß es, ob es HTTPS ist?
Antwort-Header wiederholen das Schema der Anfrage nicht. Wenn du die Befehlszeile (curl -I https://…) oder nur die URL einfügst, wird es daraus erkannt; gibt es keinen Hinweis, wird HTTPS angenommen (der häufigste reale Fall) — und du kannst es mit dem Schalter von Hand korrigieren.
