Prüfungen / Links, Canonical und Geschwindigkeit

Security-Header fehlen

Content-Security-Policy, X-Content-Type-Options, X-Frame-Options und Referrer-Policy schützen Besucher vor eingeschleusten Skripten, Clickjacking und dem Preisgeben von URLs.

security_headers_missing · Links, Canonical und Geschwindigkeit · Hinweis

Was sie auslöst

Der Antwort Ihrer Startseite fehlt mindestens einer der Header Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (zählt nicht, wenn die Content-Security-Policy frame-ancestors hat) und Referrer-Policy.

Was zu ändern ist

Fügen Sie die Header aus dem Fix-Feld Ihrer Server- oder CDN-Konfiguration hinzu.

Beispiel

Antwort-Header, die Sie auf Ihrem Server oder CDN ergänzen:

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: frame-ancestors 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

So bestätigen Sie die Korrektur

1. Führen Sie curl -I https://example.com/ aus und prüfen Sie, dass jeder Header in der Antwort enthalten ist
2. Starten Sie einen neuen Crawl

Wie häufig es vorkommt

Wir haben nicht gemessen, wie häufig das in einer Stichprobe von Sites vorkommt. Zahlen erscheinen hier, sobald eine Studie es abdeckt.

Zu dieser Prüfung

Einstellungen je Plattform

Wo die Einstellung auf einigen Plattformen liegt, laut der Hilfeseite der jeweiligen Plattform, gelesen am 26. Oktober 2026. Auf jedem anderen Server wenden Sie den Korrekturkasten oben an.

Cloudflare

In Cloudflare: Rules Overview → Create rule → Response Header Transform Rule → Set static. (Hilfeseite von Cloudflare)

Netlify

Netlify: Legen Sie dies in _headers ab. (Hilfeseite von Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  Content-Security-Policy: frame-ancestors 'self'
  X-Content-Type-Options: nosniff
  X-Frame-Options: SAMEORIGIN
  Referrer-Policy: strict-origin-when-cross-origin
  Permissions-Policy: camera=(), microphone=(), geolocation=()

Vercel

Vercel: Legen Sie dies in vercel.json ab. (Hilfeseite von Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        },
        {
          "key": "Content-Security-Policy",
          "value": "frame-ancestors 'self'"
        },
        {
          "key": "X-Content-Type-Options",
          "value": "nosniff"
        },
        {
          "key": "X-Frame-Options",
          "value": "SAMEORIGIN"
        },
        {
          "key": "Referrer-Policy",
          "value": "strict-origin-when-cross-origin"
        },
        {
          "key": "Permissions-Policy",
          "value": "camera=(), microphone=(), geolocation=()"
        }
      ]
    }
  ]
}

Verwandte Prüfungen

• Öffentliche Seite kann nicht gecacht werden
• Render-blockierende Skripte und Styles
• Die Serverversion ist öffentlich
• Die Sitemap hat keine brauchbaren Änderungsdaten

So funktioniert ein Audit: Methode