Eine Adresse. Zwo Klicks. Klarer Befund.
Gib Deine Adresse ein. ZwoWebCheck prüft Erreichbarkeit, Zertifikat, Verschlüsselung, Sicherheits-Header und DNS und zeigt Dir, was Du konkret verbessern kannst.
Kostenlos und ohne Anmeldung.
Prüf Websites, die Dir gehören oder die Du betreust. Wir rufen nur ab, was jeder Browser sieht. Was wir abrufen
- ZertifikatGültig
- TLSVersion 1.3
- HSTSNur HTTPS
- HeaderCSP fehlt
So läuft’s
Adresse eingeben
Deine Domain genügt, etwa deine-domain.de – oder eine bestimmte Seite mit Pfad.
Kurz warten
Wir rufen Deine Seite ab wie ein Browser und prüfen zwölf Bereiche. Meist dauert das keine halbe Minute.
Befund lesen
Je Bereich eine Ampel, was sie bedeutet und was Du ändern solltest – oft mit fertigen Zeilen für Deinen Webserver.
Was wir prüfen
- Erreichbarkeit
- Ob Deine Adresse auflöst, per HTTP und HTTPS antwortet und sauber auf HTTPS weiterleitet.
- Zertifikat & TLS
- Ob das Zertifikat gültig ist und passt, wann es abläuft und ob veraltete Protokolle noch angeboten werden.
- HSTS & Header
- Ob Browser nur verschlüsselt verbinden dürfen und welche Schutz-Header Deine Seite mitschickt.
- Webserver & Software
- Welche Software Deine Seite verrät, ob sie aktuell ist und ob aktiv ausgenutzte Lücken sie betreffen.
- DNS
- Nameserver, DNSSEC und ob ein CAA-Eintrag festlegt, wer Zertifikate für Deine Domain ausstellen darf.
- Inhalte & Cookies
- Unverschlüsselt nachgeladene Inhalte, eingebundene Drittanbieter, Cookie-Einstellungen und security.txt.
Wir rufen Deine Seite nur so ab, wie es ein Browser auch tut – ohne Angriffe, ohne geratene Pfade. Den Bericht löschen wir nach 30 Tagen.
Erst lesen, dann prüfen?
- HSTSMit HSTS legt Deine Website fest, dass Browser sie nur noch über HTTPS aufrufen. Der Header ist schnell gesetzt. Wer ihn vorschnell auf alle Subdomains ausdehnt, sperrt allerdings womöglich das eigene Testsystem aus.
- CSPEine Content-Security-Policy sagt dem Browser, woher Deine Seite Skripte, Bilder und andere Inhalte laden darf. Ein eingeschleustes Skript läuft dann ins Leere.
- Sicherheits-HeaderNeben HSTS und CSP gibt es eine Handvoll kleiner Header, die mit je einer Zeile Konfiguration eine bestimmte Schwachstelle schließen. Andere stehen noch in vielen Vorlagen, obwohl sie längst nichts mehr bewirken.
- TLS und ZertifikatDas Schloss im Browser verrät wenig darüber, wie gut eine Verbindung geschützt ist. Dahinter stecken ein Zertifikat, das den Server ausweist, und das TLS-Protokoll, das die Daten verschlüsselt. Bei beidem kann etwas falsch eingerichtet sein, ohne dass es auffällt.
- CAAJede öffentliche Zertifizierungsstelle kann ein Zertifikat für Deine Domain ausstellen, sobald die Domainprüfung gelingt. Ein CAA-Eintrag im DNS beschränkt das auf die Stellen, mit denen Du tatsächlich arbeitest.
- DNSSECDNSSEC signiert die DNS-Antworten Deiner Domain, damit niemand Deine Besucher unbemerkt auf einen fremden Server lenkt. Einschalten lässt es sich schnell. Danach muss der DS-Eintrag beim Registrar dauerhaft zum Schlüssel der Zone passen.
- security.txtFindet jemand eine Lücke auf Deiner Website, muss er erst herausfinden, wem er sie melden kann. Eine kleine Textdatei an einem festen Ort nimmt ihm diese Suche ab, solange jemand sie aktuell hält.