Das HTTPS-Prüfungs-Tool untersucht die HTTPS-Konfiguration und grundlegende Sicherheitsmerkmale einer Website. Geben Sie eine URL oder Domain ein, um TLS-Zertifikat, HTTP-zu-HTTPS-Weiterleitung und wichtige Sicherheitsheader zu prüfen.
Neben dem SSL/TLS-Zertifikat werden HTTP-zu-HTTPS-Weiterleitungen, HSTS (Strict-Transport-Security), X-Frame-Options, Content-Security-Policy und HTTP-Ressourcen innerhalb von HTTPS-Seiten geprüft.
Das Tool zeigt Status, verbleibende Gültigkeit, Issuer, Subject und Anzahl der SAN-Einträge des aktuell verwendeten TLS-Zertifikats.
Die Prüfung stellt fest, ob HTTP-Anfragen automatisch auf HTTPS weitergeleitet werden. Eine fehlende erwartete 3xx-Weiterleitung kann auf einen noch unverschlüsselten Zugriffspfad hinweisen.
HSTS (HTTP Strict Transport Security) weist kompatible Browser an, eine Website über HTTPS aufzurufen. Dadurch kann das Risiko einer HTTP-Nutzung und bestimmter Protokoll-Downgrade-Angriffe reduziert werden.
X-Frame-Options ist ein HTTP-Sicherheitsheader, mit dem gesteuert werden kann, ob eine Seite in Frame- oder Iframe-Elementen eingebettet werden darf. Eine korrekte Konfiguration kann Clickjacking-Risiken reduzieren.
Content-Security-Policy (CSP) begrenzt die Quellen, aus denen Browser Ressourcen laden oder ausführen dürfen. Eine geeignete CSP kann das Risiko von XSS und bestimmten Ressourcen-Injektionen reduzieren.
Mixed Content entsteht, wenn eine HTTPS-Seite weiterhin HTTP-Ressourcen wie Bilder, JavaScript, CSS oder externe Inhalte lädt. Solche Ressourcen sollten möglichst ebenfalls über HTTPS bereitgestellt werden.
https://example.com oder example.com.Die Ergebnisse bestehen aus mehreren unabhängigen Prüfungen. Ein gültiges Zertifikat allein bedeutet nicht, dass die gesamte HTTPS-Konfiguration korrekt ist. Weiterleitungen, HSTS, Sicherheitsheader und Mixed Content sollten ebenfalls berücksichtigt werden.
Das vom Server zurückgegebene TLS-Zertifikat befindet sich zum Prüfzeitpunkt innerhalb seines Gültigkeitszeitraums. Die verbleibenden Tage sollten trotzdem überwacht werden.
Ein Statuscode von 0 kann bedeuten, dass keine gültige HTTP-Antwort empfangen wurde. Dies bedeutet nicht automatisch, dass keine HTTPS-Weiterleitung konfiguriert ist. Netzwerk- und Serverbedingungen sollten ebenfalls geprüft werden.
Wenn die HTTPS-Anfrage fehlschlägt, können Header oder Mixed Content möglicherweise nicht weiter analysiert werden. Zuerst sollten TLS-Verbindung, Zugriffsbeschränkungen und Serverkonfiguration geprüft werden.
HTTPS verschlüsselt die Kommunikation zwischen Client und Server über TLS und verwendet digitale Zertifikate zur Unterstützung der Serverauthentifizierung. Für Logins, Benutzerdaten, APIs und andere sensible Kommunikation ist HTTPS eine grundlegende Sicherheitsmaßnahme.
Wenn HTTP und HTTPS parallel verfügbar sind, sollte HTTP je nach Anwendungsfall auf HTTPS weitergeleitet werden. Dadurch wird die Nutzung einer unverschlüsselten Verbindung reduziert.
Nach einer stabilen HTTPS-Konfiguration und der Umstellung aller relevanten Ressourcen auf HTTPS kann HSTS aktiviert werden. Dadurch können unterstützende Browser zukünftige Zugriffe bevorzugt über HTTPS durchführen.
Die SSL-Zertifikatsprüfung konzentriert sich auf das Zertifikat selbst, etwa Subject, Issuer, Gültigkeit, Seriennummer, Signaturalgorithmus und Public Key. Die HTTPS-Prüfung betrachtet zusätzlich Weiterleitungen, HSTS, Sicherheitsheader und Mixed Content.
Wenn Sie die vollständige HTTPS-Bereitstellung einer Website prüfen möchten, einschließlich Weiterleitung, Sicherheitsheadern und Mixed Content, ist dieses Tool geeignet. Für reine Zertifikatsinformationen sollten Sie die SSL-Zertifikatsprüfung verwenden.
Nein. Ein gültiges TLS-Zertifikat bestätigt nur seinen Status zum Prüfzeitpunkt. Die Gesamtsicherheit hängt auch von TLS-Versionen, Weiterleitungen, HSTS, Sicherheitsheadern, Ressourcen und der Anwendungskonfiguration ab.
Wenn die HTTPS-Seite selbst nicht erreichbar ist, können die vollständigen HTTP-Header nicht gelesen werden. Zuerst sollte die HTTPS-Verbindung überprüft werden.
Häufig laden HTTPS-Seiten Bilder, Skripte, Stylesheets, Schriftarten oder Drittanbieterressourcen weiterhin über HTTP. Diese URLs sollten nach Möglichkeit auf HTTPS umgestellt werden.
CDN-Knoten, Client-IP, User-Agent, SNI und Netzwerkbedingungen können unterschiedliche Inhalte oder Zertifikate liefern. Browser können außerdem Cache- und HSTS-Daten verwenden.
Das HTTPS-Prüfungs-Tool eignet sich für Website-Administratoren, Entwickler, Serverbetreiber und Sicherheitsteams und bietet eine schnelle Übersicht über TLS-Zertifikat, HTTPS-Weiterleitung und wichtige HTTP-Sicherheitsheader.
Kommentare 0