Wie sicher ist deine Website?

Trayyce ruft die Adresse einmal ab, folgt auf Wunsch ihren Weiterleitungen und wertet die letzte Antwort aus. Dazu kommen einige gezielte Abfragen, die unter den häufigen Fragen beschrieben sind.

Kopfzeilen

Die sechs Kernkopfzeilen Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy samt ihren Werten. Dazu doppelt gesendete und veraltete Kopfzeilen, CORS und die Isolationskopfzeilen COOP, COEP und CORP.

Content-Security-Policy

Jede Direktive der Richtlinie: 'unsafe-inline' und 'unsafe-eval', Platzhalter wie * und https:, Nonce, Hash und 'strict-dynamic', fehlende object-src, base-uri, frame-ancestors und form-action. Eine Richtlinie nur als Report-Only oder nur im HTML-Kopf wird erkannt.

Transport und TLS

Ob http sofort auf https umleitet, HSTS mit Laufzeit, includeSubDomains und preload, welche TLS-Versionen der Server anbietet, und das Zertifikat mit Namen, Aussteller, Laufzeit und Schlüssellänge.

Cookies

Secure, HttpOnly und SameSite jedes Cookies und die Regeln der Präfixe __Host- und __Secure-. Den Wert eines Cookies enthält der Bericht nicht.

Offenlegung

Kopfzeilen wie Server und X-Powered-By, die Software und Version verraten, und PHP-Versionen ohne Sicherheitsupdates.

Seiteninhalt

Fremde Skripte ohne Integritätsprüfung (SRI), Skripte, Stile und Bilder über http, Formulare an http-Adressen, CMS und Bibliotheken samt Version.

DNS

CAA-Einträge und ob DNSSEC aktiv ist.

E-Mail

MX, SPF, DMARC, MTA-STS und TLS-Reporting der Domain sowie die Datei /.well-known/security.txt.

DKIM prüfen wir nicht. Ohne den Selektor, den nur der Absender kennt, lässt sich der Schlüssel nicht finden.

Die Note folgt einer festen Regel, die hier vollständig steht. Gezählt wird, was im Browser deiner Besucher wirkt: Eine Kopfzeile mit unwirksamem Wert zählt nicht.

Grundnote

Gezählt werden die sechs Kernkopfzeilen, die vorhanden sind und deren Wert wirkt.

Wann eine Kernkopfzeile zählt

Kopfzeilezählt, wenn

Content-Security-Policy

als Kopfzeile gesendet, nicht nur als Report-Only oder im HTML-Kopf, und mit script-src oder default-src

Strict-Transport-Security

über https gesendet, mit gültigem max-age größer 0; bei mehreren gilt die erste

X-Frame-Options

DENY oder SAMEORIGIN, oder die CSP setzt frame-ancestors

X-Content-Type-Options

der erste Wert ist nosniff

Referrer-Policy

der letzte gültige Wert ist nicht unsafe-url

Permissions-Policy

lesbar in der Form funktion=(liste)

A+

A+ gibt es nur bei Grundnote A und wenn es bei Kopfzeilen, CSP, Transport und Cookies keinen Befund der Stufe Warnung oder Kritisch gibt.

Deckel

Einige Mängel begrenzen die Note, gleich wie viele Kopfzeilen wirken. Greifen mehrere, gilt die niedrigste Note.

Eine CSP, die nur als Content-Security-Policy-Report-Only gesendet wird, zählt bei der Grundnote nicht.

Was die Note nicht ändert

DNS und E-Mail, verratene Versionsnummern und der Seiteninhalt stehen im Bericht, gehen aber nicht in die Note ein. Ausnahme sind die beiden Deckel für Inhalte über http.

Ein Zertifikat gilt als ungültig, wenn sich seine Kette mit den üblichen Stammzertifikaten nicht prüfen lässt, etwa weil der Server das Zwischenzertifikat nicht mitschickt. Manche Browser laden es selbst nach, der Prüfdienst nicht.

Den Bericht, 30 Tage lang.

Lesen kann ihn, wer den Link kennt. Ergibt der Check eine Note, nehmen wir die Website in die öffentliche Rangliste auf. Verlinkt ist dort nur ein Bericht über die Startseite. Hast du eine Unterseite geprüft, prüfen wir die Startseite mit, und dein Bericht bleibt nur über seinen Link erreichbar. Ausgenommen sind Subdomains, Checks ohne Weiterleitungen und Websites, die auf eine andere Domain weiterleiten. In der Rangliste steht nicht, wer geprüft hat. Nach 30 Tagen löschen wir den Bericht.

Technische Eckdaten je Adresse, 12 Monate lang.

Zu jedem geprüften Host speichern wir Note, Hoster, CDN, DNS- und Mailanbieter, CMS und Bibliotheken mit Version sowie Kennungen der gefundenen Mängel. Damit bieten wir Betreibern Hilfe bei der Behebung an. Zwölf Monate nach der letzten Prüfung löschen wir die Angaben.

Nutzungsstatistik, 90 Tage und 13 Monate.

Nur der Plattformbetreiber sieht Anzahl, Zeitpunkt und Status von Anfragen sowie öffentliche Prüfdomainnamen und gefilterte B2B-Suchbegriffe. Persönliche Suchkennungen aus Datenschutz- und Profilchecks werden nicht übernommen. Die Statistik enthält keine Besucher-IP-Adressen. Einzelne Anfragen löschen wir nach 90 Tagen, die Tageszahlen ohne Bezug zu einzelnen Besuchern nach 13 Monaten.

Keine IP-Adresse.

Um die Zahl der Prüfungen je Besucher zu begrenzen, bilden wir aus deiner IP-Adresse einen Schlüssel mit einem Geheimnis, das bei jedem Neustart wechselt. Gespeichert wird nur dieser Schlüssel, höchstens 25 Stunden.

Keine Cookies.

Diese Seiten setzen selbst kein Cookie, auch keins für die Sprache. Die steht in der Adresse.

Du betreibst eine Domain und möchtest, dass wir nichts zu ihr speichern? Daten zu deiner Domain löschen