Exzellent

Excellence-Bonus (max. 66)

Wolf-Agents Score

Analysierte Website

megavideo.dev

93.241.220.38

Let's Encrypt TLSv1.3

2/2

CT-Logs 2 SCTs Google, IPng

CAA 1 Issuer

3/3

DNSSEC Validiert

2/2

SRI Self-Hosted

✓

PCI-DSS 4.0.1 unterstützt Req. 6.4.3

Was bedeuten diese Werte?

SSL/TLS-Verschlüsselung TLSv1.3

TLS 1.3 ist die aktuellste Version mit verbesserter Sicherheit und schnellerem Verbindungsaufbau. Das kurzlebige Zertifikat (7 Tage Laufzeit) wird automatisiert erneuert — Best Practice 2026.

Certificate Transparency (CT) 2 SCTs

Dieses Zertifikat ist in öffentlichen CT-Logs registriert. Jede Zertifikatsausstellung ist transparent nachvollziehbar und Missbrauch kann erkannt werden.

WAF/CDN Nicht erkannt

Keine WAF oder CDN erkannt. Eine Web Application Firewall schützt vor Angriffen, ein CDN verbessert Performance und DDoS-Resistenz. Für öffentliche Websites empfohlen.

CAA (DNS CAA Records) 1 Issuer erlaubt

CAA Records beschränken, welche Zertifizierungsstellen (CAs) Zertifikate für diese Domain ausstellen dürfen. Erlaubt: letsencrypt.org

DNSSEC Validiert

DNSSEC schützt DNS-Antworten durch kryptografische Signaturen vor Manipulation. Angreifer können keine gefälschten DNS-Antworten einschleusen.

Subresource Integrity (SRI) Self-Hosted

Alle Ressourcen werden selbst gehostet — keine externen Abhängigkeiten, die kompromittiert werden könnten.

PCI-DSS 4.0.1 unterstützt Req. 6.4.3

Die aktive Content Security Policy trägt zur Erfüllung von PCI-DSS 4.0.1 Requirement 6.4.3 bei (Pflicht seit März 2025 für Zahlungsseiten). Vollständige Konformität erfordert zusätzlich ein Skript-Inventar und Integritätssicherung (Subresource Integrity) — die CSP allein deckt 6.4.3 nicht vollständig ab.

Scan: 02.08.2026, 04:05 Uhr

Security Headers

CSP

HSTS

X-Frame

X-CTO

Referrer

Permissions

COOP

COEP

Score-Berechnung

Security Headers 100/100

Basis-Score 100/100

Excellence-Bonus +60/66

Gesamt 160/166

Unser Scoring prüft 12 Sicherheitsaspekte statt nur 6 wie andere Tools – für eine umfassendere Analyse nach BSI-Grundschutz.

Vorbildliche Sicherheit mit Excellence-Bonus: Ihre Website setzt aktuelle Best Practices um und schützt Ihre Besucher optimal. Alle sicherheitsrelevanten MUSS-Header sind gesetzt und korrekt konfiguriert. Der Excellence-Bonus von +60 Punkten zeigt, dass Sie zusätzlich zahlreiche freiwillige Härtungsmaßnahmen umgesetzt haben.

Was bedeutet Ihre Note?

Note	Punkte	Bedeutung	Handlungsbedarf
A+	150–166	Exzellent	Monitoring beibehalten
A	135–149	Sehr gut	Feintuning möglich
B+	106–134	Gut	Optimierung empfohlen
B	86–105	Ordentlich	Verbesserung empfohlen
C	65–85	Befriedigend	Handeln Sie zeitnah
D	45–64	Ausreichend	Handlungsbedarf
E	25–44	Mangelhaft	Dringender Handlungsbedarf
F	0–24	Ungenügend	Sofortmaßnahmen erforderlich

Punkte von maximal 166 (100 Basis + 66 Excellence-Bonus). Die Skala ist qualitativ mit unseren E-Mail- und API-Checks harmonisiert: Dieselbe Note steht überall für dasselbe Schutzniveau – nicht für denselben Rohprozentsatz.

Hinweis zu Subdomains

Subdomains wie shop.ihredomain.de oder blog.ihredomain.de sind technisch eigenständig. Die Sicherheitskonfiguration Ihrer Hauptdomain gilt dort nicht automatisch – jede Subdomain muss separat abgesichert werden.

Stand der Technik erfüllt

Ihre Website erfüllt die technischen Anforderungen nach Art. 32 DSGVO und BSI-Grundschutz.

Bei einem Sicherheitsvorfall können Sie nachweisen, dass angemessene technische Maßnahmen getroffen wurden.

Excellence-Bonus +66 Punkte möglich

+60/66

Content Security Policy

CSP strict-dynamic script-src 'strict-dynamic' verwenden

CSP Nonces Nonces für Inline-Scripts nutzen

CSP Hashes SHA-Hashes für Inline-Scripts

CSP default-src: none

CSP object-src: none

CSP base-uri eingeschränkt

CSP frame-ancestors

CSP form-action

CSP upgrade-insecure-requests

CSP Reporting (report-uri)

Modernes CSP-Reporting (report-to)

Trusted Types

HTTP Strict Transport Security

HSTS max-age >= 1 Jahr

HSTS includeSubDomains

HSTS preload Flag

HSTS Preload-Liste

HSTS Preload-Antrag ausstehend Preload-Antrag bei hstspreload.org eingereicht (wartet auf Aufnahme)

Cookie-Sicherheit

Alle Cookies Secure Secure-Flag für alle Cookies

Alle Cookies HttpOnly HttpOnly-Flag für alle Cookies

Alle Cookies SameSite=Strict SameSite=Strict für alle Cookies

Cookie __Host- Prefix __Host- Prefix für sichere Cookies

Datensparsamkeit (Keine Cookies)

Subresource Integrity

Alle CDN mit SRI integrity= für CDN-Ressourcen

Alle externen Ressourcen geschützt SRI für alle externen Scripts/Styles

Keine externen Abhängigkeiten

HTTPS-Redirects

Direkt HTTPS

Sauberer HTTP-zu-HTTPS Redirect

WWW-Normalisierung

Cross-Origin Headers

Cross-Origin-Opener-Policy

Cross-Origin-Embedder-Policy

CORP: same-origin

CORP: same-site Guter Schutz - Ressource nur von gleicher Site ladbar

CORP: cross-origin Nur mit COEP sinnvoll - erlaubt Einbettung von überall

Cross-Origin Isolated

Security Reporting

Report-To Header

Network Error Logging

Reporting-Endpoints Header

Origin-Agent-Cluster

DNSSEC

DNSSEC Validiert

DNSSEC Aktiviert (teilweise) DNSSEC aktiviert, aber nicht vollständig validiert

CAA issue/issuewild-Records

CAA iodef-Reporting

SSL/TLS-Verschlüsselung

TLS 1.3

Cache-Control (BSI)

Cache-Control Header

no-store Direktive

private Direktive

must-revalidate Direktive

OWASP-konforme Konfiguration

Clear-Site-Data

Stateless Website (Ohne Login)

Clear-Site-Data Header Clear-Site-Data Header vorhanden (gut für Logout-Seiten)

Vollständige Clear-Site-Data Alle Direktiven: "cache", "cookies", "storage" oder "*"

security.txt (RFC 9116)

security.txt vorhanden

security.txt vollständig

+6 weitere Punkte möglich durch Implementierung der oben markierten Maßnahmen.

✓ Vorhandene Sicherheitsheader

8 Header aktiv

✓ Content-Security-Policy Exzellent BSI BSI APP.3.1.A21

25/25 Punkte ⭐ +13/19 Bonus

XSS-Schutz durch Content Security Policy aktiv

default-src 'none'; form-action 'self'; script-src-elem 'self'; style-src-elem '...

✓ Bonus-Punkte (+13)

CSP-Verstöße werden gemeldet +1
Modernes CSP-Reporting (report-to) +2
Trusted Types — Schutz vor DOM-XSS (laut Google ~60% aller XSS-Schwachstellen) +3
Strikteste Basis — alles explizit erlaubt +2
object-src 'none' verhindert Legacy-Einbettungen über <object>/<embed> (Defense-in-Depth) +1
Base-Tag-Injection verhindert +1
Clickjacking-Schutz via CSP (ersetzt X-Frame-Options) +1
Formular-Ziele eingeschränkt — Phishing erschwert +1
HTTP-Ressourcen automatisch auf HTTPS umgeleitet +1

Nonces: Nein strict-dynamic: Nein unsafe-inline: Nein unsafe-eval: Nein

Was schützt dieser Header? ▼

Ihre Website kontrolliert, welcher Code ausgeführt werden darf. Nur explizit erlaubte Skripte können geladen werden — eingeschleuster Schadcode wird blockiert.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Ein Angreifer findet eine Eingabelücke in Ihrem Kontaktformular oder Kommentarfeld
Er schleust ein unsichtbares JavaScript-Skript ein (z.B. über einen manipulierten Link)
Jeder Besucher Ihrer Website führt diesen Schadcode aus — ohne es zu bemerken

Auswirkung: 429.000 Kunden betroffen, Kreditkartendaten gestohlen

Ihr Schutz: Eine strikte CSP hätte das eingeschleuste Skript blockiert

Strafe: 20 Millionen Pfund DSGVO-Strafe

✓ Strict-Transport-Security Exzellent BSI BSI APP.3.1.A21

20/20 Punkte ⭐ +5/5 Bonus

HTTPS-Verschlüsselung wird erzwungen

max-age=63072000; includeSubDomains; preload

max-age: 730 Tage (2.0 Jahre) includeSubDomains: Ja preload: Ja

✓ In Browser-Preload-Liste eingetragen

✓ Bonus-Punkte (+5)

max-age >= 1 Jahr +1
includeSubDomains gesetzt +1
preload Flag gesetzt +1
In HSTS Preload-Liste eingetragen +2

Was schützt dieser Header? ▼

Browser kommunizieren ausschließlich verschlüsselt mit Ihrer Website. Selbst wenn ein Nutzer http:// eingibt, wird automatisch auf HTTPS umgeleitet — noch bevor die erste Anfrage gesendet wird.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Ihr Kunde verbindet sich mit einem öffentlichen WLAN (Café, Hotel, Flughafen)
Ein Angreifer im gleichen Netzwerk fängt die erste HTTP-Anfrage ab
Er leitet Ihren Kunden auf eine HTTP-Version Ihrer Seite um

Auswirkung: Über 1 Million Downloads eines Tools, das in öffentlichen WLANs Session-Cookies stahl

Ihr Schutz: HSTS erzwingt HTTPS ab dem ersten Besuch — SSL-Stripping wird unmöglich

✓ X-Frame-Options BSI BSI APP.3.1.A21

15/15 Punkte

Clickjacking-Schutz aktiv

DENY

Was schützt dieser Header? ▼

Ihre Website kann nicht in unsichtbaren Frames auf fremden Seiten eingebettet werden. Angreifer können Ihre Besucher nicht dazu bringen, unwissentlich Aktionen auf Ihrer Seite auszuführen.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Ein Angreifer erstellt eine verlockende Webseite ("Gewinnspiel", "Gratis-Download")
Er lädt Ihre echte Website in einem unsichtbaren Frame darüber
Der Besucher sieht die Fake-Seite, klickt aber auf Elemente Ihrer echten Seite

Auswirkung: Millionen ungewollte "Likes" für Spam-Seiten

Ihr Schutz: X-Frame-Options: DENY verhindert jegliche Frame-Einbettung

✓ X-Content-Type-Options BSI BSI APP.3.1.A21

10/10 Punkte

MIME-Sniffing-Schutz aktiv

nosniff

Was schützt dieser Header? ▼

Browser vertrauen dem Content-Type Ihrer Server-Antworten und raten nicht mehr. Eine als Bild getarnte JavaScript-Datei wird nicht mehr ausgeführt.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Browser versuchen "hilfreich" zu sein und raten den Dateityp
Ein Angreifer lädt eine Datei hoch die aussieht wie ein Bild (bild.jpg)
In Wirklichkeit enthält die Datei JavaScript-Code

✓ Referrer-Policy BSI BSI APP.3.1.A21

10/10 Punkte

URL-Weitergabe wird kontrolliert

no-referrer

Was schützt dieser Header? ▼

Wenn Besucher auf externe Links klicken, wird nur Ihre Domain übertragen, nicht der vollständige Pfad. Sensible URL-Parameter wie Session-IDs oder Kundennummern bleiben privat.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Ein Besucher klickt auf einen externen Link auf Ihrer Seite
Der Browser sendet die vollständige Quell-URL mit (Referrer-Header)
URLs wie /kunden/max-mustermann/vertrag-123456 werden übertragen

✓ Permissions-Policy BSI BSI APP.3.1.A21

10/10 Punkte

Browser-APIs werden eingeschränkt

accelerometer=(), ambient-light-sensor=(), autoplay=(self), bluetooth=(), browsi...

Was schützt dieser Header? ▼

Eingebettete Inhalte (Werbung, Widgets, iFrames) können keine sensiblen Browser-Funktionen nutzen. Kamera, Mikrofon und Standort sind nur für Ihre eigene Domain erlaubt.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Moderne Browser haben mächtige APIs: Kamera, Mikrofon, Standort
Jedes eingebettete Element (Werbung, Widgets) kann diese anfordern
Ein kompromittiertes Werbebanner könnte Kamera-Zugriff verlangen

✓ Cross-Origin-Opener-Policy BSI BSI APP.3.1.A21

5/5 Punkte ⭐ +3/3 Bonus

Cross-Origin-Isolation aktiv

same-origin

Was schützt dieser Header? ▼

Ihre Website ist von anderen Browser-Tabs isoliert. Spectre-ähnliche Seitenkanalangriffe, die Daten aus anderen Tabs auslesen könnten, werden verhindert.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Spectre-Angriffe (2018) nutzten CPU-Schwachstellen in allen modernen Prozessoren
Bösartige Websites können über Timing-Angriffe Daten aus anderen Tabs auslesen
Ohne COOP teilen sich Ihre Seite und andere Tabs den gleichen Browsing-Kontext

Auswirkung: Betraf alle modernen CPUs weltweit — Milliarden Geräte

Ihr Schutz: COOP isoliert Ihren Tab von fremden Ursprüngen — Datenexfiltration wird verhindert

✓ Cross-Origin-Embedder-Policy BSI BSI APP.3.1.A21

5/5 Punkte ⭐ +2/2 Bonus

Eingebettete Ressourcen werden kontrolliert

require-corp

Was schützt dieser Header? ▼

Alle eingebetteten Ressourcen müssen explizit CORS-Header setzen. Dies verhindert unbeabsichtigte Datenexfiltration über Timing-Angriffe.

✓ Durch diese Konfiguration sind Sie geschützt vor:

Ihre Website bindet Bilder, Skripte oder iFrames von externen Quellen ein
Ohne COEP können diese Ressourcen für Timing-Angriffe missbraucht werden
Ein Angreifer misst, wie lange das Laden bestimmter Ressourcen dauert

Auswirkung: Ermöglichte das Auslesen von Speicher über präzise Timing-Messungen

Ihr Schutz: COEP stellt sicher, dass alle eingebetteten Ressourcen explizit CORS erlauben

security.txt RFC 9116

Exzellent

Die security.txt zeigt Security-Researchern, wie sie Sicherheitslücken melden können.

Pflichtfelder (RFC 9116)

✓ Contact 2 Kontakte
✓ Expires 31.12.2026

Optionale Felder

✓ Encryption
✓ Canonical
✓ Languages de, en

security.txt anzeigen

Raw Headers

Alle HTTP-Response-Header der Website

Header	Wert
`HTTP/2 200`
`content-security-policy`	default-src 'none'; form-action 'self'; script-src-elem 'self'; style-src-elem 'self'; style-src-attr 'none'; manifest-src 'self'; media-src 'self'; base-uri 'self'; object-src 'none'; script-src 'self'; script-src-attr 'none'; style-src 'self'; img-src 'self' data:; child-src 'none'; worker-src 'none'; frame-src 'none'; font-src 'self' data:; connect-src 'self'; frame-ancestors 'none'; upgrade-insecure-requests; require-trusted-types-for 'script'; report-uri https://megavideo.dev/.well-known/reports/csp; report-to csp-endpoint;
`cross-origin-embedder-policy`	require-corp
`cross-origin-opener-policy`	same-origin
`cross-origin-resource-policy`	same-origin
`permissions-policy`	accelerometer=(), ambient-light-sensor=(), autoplay=(self), bluetooth=(), browsing-topics=(), camera=(), captured-surface-control=(), clipboard-read=(), clipboard-write=(self), compute-pressure=(), conversion-measurement=(), cross-origin-isolated=(self), display-capture=(), document-domain=(), encrypted-media=(self), focus-without-user-activation=(), fullscreen=(self), gamepad=(), geolocation=(), gyroscope=(), hid=(), idle-detection=(), interest-cohort=(), keyboard-map=(), language-detector=(), language-model=(), local-fonts=(), magnetometer=(), microphone=(), midi=(), navigation-override=(), payment=(), picture-in-picture=(self), private-state-token-issuance=(), private-state-token-redemption=(), publickey-credentials-get=(self), rewriter=(), screen-wake-lock=(), serial=(), speaker-selection=(), storage-access=(), summarizer=(), sync-xhr=(), translator=(), trust-token-redemption=(), usb=(), vertical-scroll=(), web-share=(), window-placement=(), writer=(), xr-spatial-tracking=()
`referrer-policy`	no-referrer
`strict-transport-security`	max-age=63072000; includeSubDomains; preload
`x-content-type-options`	nosniff
`x-frame-options`	DENY
`alt-svc`	h3=":443"; ma=86400
`cache-control`	no-store, private, must-revalidate
`content-encoding`	br
`content-length`	5724
`content-type`	text/html; charset=utf-8
`date`	Sun, 02 Aug 2026 04:05:16 GMT
`etag`	"6a622902-165c"
`last-modified`	Thu, 23 Jul 2026 14:45:22 GMT
`nel`	{ "report_to": "default", "max_age": 86400, "success_fraction": 0, "failure_fraction": 0.01 }
`origin-agent-cluster`	?1
`report-to`	{ "group": "csp-endpoint", "max_age": 86400, "endpoints": [ { "url": "https://megavideo.dev/.well-known/reports/csp" } ] }
`reporting-endpoints`	default="https://megavideo.dev/.well-known/reports/default", csp-endpoint="https://megavideo.dev/.well-known/reports/csp", nel-endpoint="https://megavideo.dev/.well-known/reports/nel"
`vary`	Accept-Encoding
`x-permitted-cross-domain-policies`	none
`x-waf`	ModSecurity; blocking

Vollständigen Report per E-Mail erhalten

Geben Sie Ihre E-Mail-Adresse ein, um den detaillierten Security-Report mit allen Handlungsempfehlungen zu erhalten.

Der Report wird unabhängig von der Einwilligung oben zugestellt. Details zur Verarbeitung: Datenschutzerklärung