HTTP-Statuscode-Prüfer

Prüft Statuscode, Redirects, wichtige Response Header und kopierbaren Report einer öffentlichen URL für Deployment und SEO.

Serverseitige PrüfungDie eingegebene Adresse fragt der Server dieser Seite ab.

Request-Profil

Crawler-Presets ändern nur sichere Request-Header für diesen serverseitigen Check; echte Crawl- und Indexierungsbelege kommen aus Search Console oder Logs.

HTTP-Header-Parser

Füge Antwort-Header ein und prüfe Cache-, Sicherheits-, Cookie- und CORS-Signale vor Debug-Notizen.

Rohe HTTP-Header

Header

Doppelte Namen

Security-Header

Cookie-Header

Security-Header-Bereitschaft

Prüft die Security-Header, die Entwickler vor Veröffentlichung oder Debugging einer öffentlichen Seite kontrollieren.

Security-Header-Score

3/6

Fehlende Pflichtfelder

Strict-Transport-Security

Pflicht

Schützt HTTPS-Nutzer nach dem ersten Besuch vor Protocol-Downgrade.

Vorhanden

Content-Security-Policy

Pflicht

Beschränkt script, style, image, connection und frame sources.

Vorhanden

X-Content-Type-Options

Pflicht

nosniff hilft Browsern, MIME-type-Verwechslung zu vermeiden.

Fehlt

X-Frame-Options / frame-ancestors

CORS-Preflight-Bereitschaft

Prüfe Access-Control-Antwort-Header, bevor ein Browser-Preflight-Fehler als App-Bug gilt.

Origin-Policy

Fehlt

—

Credentials-Policy

Credentials nicht erlaubt

Erlaubte Methods

—

Erlaubte Headers

—

Vary Origin

Nein

—

Preflight status

200

OPTIONS signal

—

CORS-Preflight-Notizen

Keine CORS-Antwort-Header gefunden. Für normale Seiten ok, aber cross-origin API-Aufrufe im Browser scheitern.

Geparste Header

Header-Namen werden normalisiert, damit Duplikate und Kategorien schneller sichtbar sind.

content-typeContent: text/html; charset=utf-8
cache-controlCache: public, max-age=3600
strict-transport-securitySecurity: max-age=31536000; includeSubDomains
content-security-policySecurity: default-src 'self'; img-src 'self' https:
x-frame-optionsSecurity: DENY

Header-Prüfnotizen

Header wirken bereit für Debug-Notizen. Ziel-App-Policy trotzdem prüfen.

Security-Header-Report

Kopiere einen sicheren Header-Report mit Score, fehlenden Pflicht-Headern, Cookie/CORS-Notizen und Deploy-Checks.

Header

Security-Header-Score

3/6

Fehlende Pflichtfelder

Cookie-Header

CORS

Origin-Policy

Fehlt

—

OPTIONS signal

—

Roh-Header enthalten

Nein

Nein, nur Metriken, Bereitschaftsprüfungen und Notizen sind enthalten.

Prüfnotizen

Keine offensichtlichen Security-Header-Warnungen erkannt. Prüfe vor Veröffentlichung trotzdem die Ziel-App-Policy.

Deployment-Checkliste

Bestätige, dass HTTPS-Seiten nach der ersten Production-Antwort Strict-Transport-Security senden.
Prüfe Content-Security-Policy-Sources vor dem Wechsel von report-only zu enforcement.
Prüfe Set-Cookie auf Secure, HttpOnly, SameSite und Cache-Wechselwirkung.
Prüfe CORS-Origins und Credentials gegen die vorgesehenen öffentlichen API-Clients.
Führe den Public-URL-Check nach CDN-, Proxy- oder Deploy-Änderungen erneut aus.

# Security-Header-Report

- Geprüft um: Browser-Kopierzeit
- Header: 5
- Doppelte Namen: 0
- Security-Header-Score: 3/6
- Fehlende Pflichtfelder: 1
- Cookie-Header: 0
- CORS: 0
- Origin-Policy: Fehlt (—)
- Credentials-Policy: Credentials nicht erlaubt
- Erlaubte Methods: —
- Erlaubte Headers: —
- Vary Origin: Nein
- OPTIONS signal: —
- Preflight status: 200
- Roh-Header enthalten: Nein, nur Metriken, Bereitschaftsprüfungen und Notizen sind enthalten.

## Prüfnotizen
- Keine offensichtlichen Security-Header-Warnungen erkannt. Prüfe vor Veröffentlichung trotzdem die Ziel-App-Policy.

## CORS-Preflight-Notizen
- Keine CORS-Antwort-Header gefunden. Für normale Seiten ok, aber cross-origin API-Aufrufe im Browser scheitern.

## Security-Header-Prüfungen
- Strict-Transport-Security: Vorhanden (Pflicht)
- Content-Security-Policy: Vorhanden (Pflicht)
- X-Content-Type-Options: Fehlt (Pflicht)
- X-Frame-Options / frame-ancestors: Vorhanden (Empfohlen)
- Referrer-Policy: Fehlt (Empfohlen)
- Permissions-Policy: Fehlt (Empfohlen)

## Deployment-Checkliste
- Bestätige, dass HTTPS-Seiten nach der ersten Production-Antwort Strict-Transport-Security senden.
- Prüfe Content-Security-Policy-Sources vor dem Wechsel von report-only zu enforcement.
- Prüfe Set-Cookie auf Secure, HttpOnly, SameSite und Cache-Wechselwirkung.
- Prüfe CORS-Origins und Credentials gegen die vorgesehenen öffentlichen API-Clients.
- Führe den Public-URL-Check nach CDN-, Proxy- oder Deploy-Änderungen erneut aus.

Geparstes Header-JSON

{
  "entries": [
    {
      "name": "content-type",
      "value": "text/html; charset=utf-8",
      "categoryKey": "contentHeaderCategory",
      "categoryFallback": "Content"
    },
    {
      "name": "cache-control",
      "value": "public, max-age=3600",
      "categoryKey": "cacheHeaderCategory",
      "categoryFallback": "Cache"
    },
    {
      "name": "strict-transport-security",
      "value": "max-age=31536000; includeSubDomains",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    },
    {
      "name": "content-security-policy",
      "value": "default-src 'self'; img-src 'self' https:",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    },
    {
      "name": "x-frame-options",
      "value": "DENY",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    }
  ],
  "malformedLines": 0,
  "metrics": {
    "headerCount": 5,
    "duplicateHeaderNames": 0,
    "securityHeaders": 3,
    "corsHeaders": 0,
    "cookieHeaders": 0,
    "presentSecurityHeaders": 3,
    "securityCheckCount": 6,
    "missingRequiredSecurityHeaders": 1
  },
  "securityChecks": [
    {
      "key": "hsts",
      "label": "Strict-Transport-Security",
      "present": true,
      "required": true,
      "detail": "Schützt HTTPS-Nutzer nach dem ersten Besuch vor Protocol-Downgrade."
    },
    {
      "key": "csp",
      "label": "Content-Security-Policy",
      "present": true,
      "required": true,
      "detail": "Beschränkt script, style, image, connection und frame sources."
    },
    {
      "key": "x-content-type-options",
      "label": "X-Content-Type-Options",
      "present": false,
      "required": true,
      "detail": "nosniff hilft Browsern, MIME-type-Verwechslung zu vermeiden."
    },
    {
      "key": "frame-protection",
      "label": "X-Frame-Options / frame-ancestors",
      "present": true,
      "required": false,
      "detail": "Steuert, ob andere Sites die Seite in einem Frame einbetten können."
    },
    {
      "key": "referrer-policy",
      "label": "Referrer-Policy",
      "present": false,
      "required": false,
      "detail": "Begrenzt, wie viele URL-Informationen an andere Origins gesendet werden."
    },
    {
      "key": "permissions-policy",
      "label": "Permissions-Policy",
      "present": false,
      "required": false,
      "detail": "Beschränkt Browser-Funktionen wie camera, geolocation und fullscreen."
    }
  ],
  "corsPreflight": {
    "hasCorsHeaders": false,
    "warnings": [
      "Keine CORS-Antwort-Header gefunden. Für normale Seiten ok, aber cross-origin API-Aufrufe im Browser scheitern."
    ],
    "reviewWarnings": [],
    "originPolicy": "Fehlt",
    "originValue": "—",
    "credentialsPolicy": "Credentials nicht erlaubt",
    "methodsDisplay": "—",
    "headersDisplay": "—",
    "optionsPolicy": "—",
    "varyOriginLabel": "Nein",
    "statusDisplay": "200",
    "metrics": [
      {
        "label": "Origin-Policy",
        "value": "Fehlt",
        "description": "—"
      },
      {
        "label": "Credentials-Policy",
        "value": "Credentials nicht erlaubt"
      },
      {
        "label": "Erlaubte Methods",
        "value": "—"
      },
      {
        "label": "Erlaubte Headers",
        "value": "—"
      },
      {
        "label": "Vary Origin",
        "value": "Nein",
        "description": "—"
      },
      {
        "label": "Preflight status",
        "value": "200"
      },
      {
        "label": "OPTIONS signal",
        "value": "—"
      }
    ]
  },
  "warnings": []
}

CSP-Generator

Erstelle einen Content-Security-Policy-Header, prüfe riskante Sources und uebergib ihn an den Header-Parser.

default-srcscript-srcstyle-srcimg-srcconnect-srcfont-srcframe-ancestors

Direktiven

Header-Modus

Enforce

Erzeugter CSP-Header

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; connect-src 'self'; font-src 'self'; frame-ancestors 'none'

CSP-Prüfnotizen

Die Sources wirken eng genug für die erste Durchsetzungsprüfung.

Rohantwort

Die Ausgabe erscheint hier.

Deine Eingaben bleiben nur in diesem Browser. Beim erneuten Öffnen kannst du den letzten Stand laden.

Anwendungsfälle

Prüft Statuscode, Redirects, wichtige Response Header und kopierbaren Report einer öffentlichen URL für Deployment und SEO.
Verarbeitet Eingaben mit Serverprüfung und lässt Ergebnisse vor dem Kopieren prüfen.
Kombiniere HTTP-Statuscode-Prüfer mit verwandten Tools für kuerzere Workflows.

Beispiele

Typische Eingabe: https://www.google.com; Prüfe öffentliche URL, Redirect-Diagnose, finale Antwort-Header, eingefügte Headerblöcke, CSP-Entwürfe und kopierbaren URL-Report.
Typische Ausgabe: 200 OK / finale URL / Redirect-Diagnose / Public-URL-Report / geparste Header / CSP-Header; Schnelles Beispiel zur Kontrolle der Ausgabeform vor dem Kopieren.
Weiteres Beispiel: https://bobob.app; Schnelles Beispiel zur Kontrolle der Ausgabeform vor dem Kopieren.
Weiteres Beispiel: https://www.bobob.app/sitemap.xml; Schnelles Beispiel zur Kontrolle der Ausgabeform vor dem Kopieren.
Weiteres Beispiel: https://www.bobob.app/tools/http-status-checker; Schnelles Beispiel zur Kontrolle der Ausgabeform vor dem Kopieren.
Weiteres Beispiel: https://www.bobob.app/; Schnelles Beispiel zur Kontrolle der Ausgabeform vor dem Kopieren.

Häufige Fehler

Eine Redirect-Kette kann auf anderem Host, Path, Protokoll oder Locale enden.
Server können je nach HEAD, GET, User-Agent oder Cache anderen Status liefern.
Entferne Produktionsgeheimnisse, Kundendaten und interne URLs, bevor kopierte Werte geteilt werden.

Vor dem Kopieren

1Prüfe Statuscode, finale URL, Content-Type und Cache-Header zusammen.
2Kontrolliere Canonical Redirects für Apex/www und http/https separat.
3Prüfe mit einem verwandten Tool, ob HTTP-Statuscode-Prüfer für den nächsten Schritt passt.

Quellen

301 and 308 differ in how the method is replayed
For historical reasons a 301 allows the client to replay a POST as a GET. A 308 requires the method and body to be preserved (RFC 9110). The difference shows up the moment a form submission hits a redirect.
Stand: RFC 9110
404 and 410 read differently to a crawler
410 (Gone) is for when the server knows the resource is permanently gone and no forwarding address is known (RFC 9110). 404 only says “not here right now”, so a crawler keeps coming back for a while.
Stand: RFC 9110
Serving 200 with an error page is the worst case
2xx means the request was received, understood and accepted (RFC 9110). Answer 200 for a page that does not exist and both browsers and search crawlers take it as success, so the dead URL stays in the index.
Stand: RFC 9110

FAQ

Wo wird die Eingabe von HTTP-Statuscode-Prüfer verarbeitet?

Nur für öffentliche URL- oder Host-Prüfungen noetige Werte gehen an eine Serverroute.

Kann ich das Ergebnis direkt in Produktion nutzen?

Prüfe vor dem Kopieren Runtime, Encoding, Zeitzone und Sicherheitsrichtlinien deiner Umgebung.

Nächste Schritte

Nicht indexierte URL prüfen

Wenn Search Console crawled oder discovered but not indexed meldet, prüfe finale Antwort, Sitemap, Robots, Metadata und Canonical-Form vor dem nächsten Report.

1HTTP-Statuscode-PrüferBelege final 200 auf dem Canonical-Host und halte Redirect/Header-Evidence fest.
2URL-ParserVergleiche saubere Canonical-URL mit der geprueften URL, ohne Tracking und doppelte Pfade.

Redirect debuggen

Prüfe Status, finale URL, DNS-Ziel und Social-Preview-Signale.

1HTTP-Statuscode-PrüferVerfolge Redirect-Kette und finale Antwort.
2DNS-AbfragePrüfe, ob Apex, www und CNAME auf das erwartete Ziel zeigen.
3URL-ParserZerlege Query-Parameter und Canonical-Pfad-Aenderungen.

Eingabe und Ergebnis

HTTP-Header-Parser

Security-Header-Bereitschaft

CORS-Preflight-Bereitschaft

CORS-Preflight-Notizen

Geparste Header

Header-Prüfnotizen

Security-Header-Report

Prüfnotizen

CSP-Generator

CSP-Prüfnotizen

Rohantwort

Anwendungsfälle

Beispiele

Häufige Fehler

Vor dem Kopieren

Quellen

FAQ

Wo wird die Eingabe von HTTP-Statuscode-Prüfer verarbeitet?

Kann ich das Ergebnis direkt in Produktion nutzen?

HTTP-Header-Parser

Security-Header-Bereitschaft

CORS-Preflight-Bereitschaft

CORS-Preflight-Notizen

Geparste Header

Header-Prüfnotizen

Security-Header-Report

Prüfnotizen

CSP-Generator

CSP-Prüfnotizen

Rohantwort