HTTP-Sicherheits-Header Generator (CSP, HSTS)
Wählen Sie die gewünschten Header und kopieren Sie die Konfiguration für Nginx, Express, Vercel oder Apache.
HTTP-Sicherheitsheader: erzeugte Werte und Serverkonfiguration
Das Tool erzeugt einen Konfigurationsblock für Nginx, Express, Vercel oder Apache mit bis zu sechs Headern: HSTS für ein Jahr mit preload, eine einfache CSP, X-Frame-Options (DENY oder SAMEORIGIN), X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin und eine Permissions-Policy, die Kamera, Mikrofon und Standort abschaltet. Die Werte entsprechen den geltenden Spezifikationen, sind aber weniger streng als die Referenzliste der OWASP.
Erzeugte Header
| Header | Erzeugter Wert | Wirkung |
|---|---|---|
Strict-Transport-Security | max-age=31536000; includeSubDomains; preload | HTTPS für 1 Jahr (31 536 000 s) erzwungen, inklusive Subdomains |
Content-Security-Policy | default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; | erlaubte Quellen für Skripte, Styles und Bilder |
X-Frame-Options | DENY oder SAMEORIGIN | Schutz vor Clickjacking |
X-Content-Type-Options | nosniff | kein MIME-Sniffing |
Referrer-Policy | strict-origin-when-cross-origin | an fremde Sites geht nur der Ursprung |
Permissions-Policy | camera=(), microphone=(), geolocation=() | Kamera, Mikrofon und Standort deaktiviert |
Beispiel (Nginx, DENY)
Jede Zeile sieht so aus; das Schlüsselwort always setzt den Header auch bei Fehlerantworten:
add_header X-Frame-Options "DENY" always;add_header X-Content-Type-Options "nosniff" always;
Grenzen des erzeugten Codes
- Referrer-Policy ist nicht einstellbar.
- Die CSP erlaubt
'unsafe-inline'für Skripte und schwächt so den XSS-Schutz; Nonces oder Hashes sind sicherer. - Die Direktive
preloadstammt von hstspreload.org, nicht aus RFC 6797: Die Aufnahme verlangt max-age ≥ 31 536 000, includeSubDomains und HTTPS auf allen Subdomains, eine Streichung dauert Monate.
Die OWASP-Liste mit Stand 04.10.2026 geht weiter: HSTS für 2 Jahre (63 072 000 s) ohne preload, Referrer-Policy no-referrer, X-Frame-Options deny. MDN weist darauf hin, dass die CSP-Direktive frame-ancestors mehr Möglichkeiten bietet als X-Frame-Options und dass strict-origin-when-cross-origin seit der Revision des Fetch-Standards vom November 2020 Browser-Standard ist.
Quellen und Stand: RFC 6797, HSTS (November 2012); Anforderungen von hstspreload.org; OWASP Secure Headers, Referenzliste (04.10.2026); MDN, X-Frame-Options und Referrer-Policy (geprüft am 14.10.2026).
Häufig gestellte Fragen
Welchen max-age-Wert sollte ich für HSTS verwenden?
Das Tool nutzt 31 536 000 Sekunden, also ein Jahr; das ist zusammen mit includeSubDomains und preload das Minimum für die Preload-Liste von hstspreload.org. Die OWASP empfiehlt 63 072 000 Sekunden (2 Jahre). Nach RFC 6797 weist max-age=0 den Browser an, die HSTS-Richtlinie der Site zu vergessen.
X-Frame-Options oder CSP frame-ancestors?
Beide verhindern, dass Ihre Seiten in einem fremden iframe angezeigt werden. DENY verbietet jede Einbettung, SAMEORIGIN erlaubt nur die eigene Domain. Laut MDN bietet frame-ancestors mehr Möglichkeiten, und der Wert ALLOW-FROM von X-Frame-Options ist veraltet: Aktuelle Browser ignorieren dann den gesamten Header.
Warum schwächt 'unsafe-inline' die Content-Security-Policy?
Mit 'unsafe-inline' in script-src läuft jedes direkt in die Seite geschriebene Skript, auch eines, das über eine XSS-Lücke eingeschleust wurde. Das Tool nimmt es auf, damit Sites mit Inline-Skripten weiter funktionieren. Für echten Schutz ersetzen Sie es durch Nonces oder SHA-256-Hashes der erlaubten Skripte.
Welche Referrer-Policy sollte ich wählen?
Das Tool setzt strict-origin-when-cross-origin: vollständige URL zur eigenen Site, nur der Ursprung zu anderen HTTPS-Sites, nichts zu einer HTTP-Site. Seit der Revision des Fetch-Standards vom November 2020 ist das der Browser-Standard. Die OWASP empfiehlt no-referrer, das gar nichts sendet.
Ist das Tool wirklich kostenlos?
Ja, alle Werkzeuge auf Kristools sind zu 100% kostenlos und ohne Registrierung zugänglich.
Sind meine Daten geschützt?
Ja. Die gesamte Verarbeitung erfolgt sicher und direkt in Ihrem Browser. Es werden keine persönlichen Daten an unsere Server gesendet.