Empfangene HTTP-Header prüfen

Was zeigt dieser Test?

Header beschreiben eine Anfrage, wie sie beim Server ankommt. Sie enthalten unter anderem deklarierte Browserdaten, Sprachen und Hinweise zum HTTP-Weg. Der Beobachtungspunkt ist entscheidend: Browser, Proxy, Auslieferungsnetzwerk und unser Server können verschiedene Felder zeigen oder verändern. Eine empfangene Angabe ist daher nicht immer die ursprünglich gesendete.

So führen Sie den Test durch

1. Öffnen Sie die Seite im zu untersuchenden Browserprofil und notieren Sie den Verbindungszustand sowie relevante Erweiterungen.
2. Starten Sie die Erfassung. Laden Sie erneut, wenn Sie zusätzliche vom Server angeforderte Client Hints, strukturierte Browserangaben, beobachten möchten.
3. Vergleichen Sie Header des Seitenaufrufs und der JavaScript-Anfrage. Lesen Sie die direkt in JavaScript verfügbaren Angaben im getrennten Abschnitt.

So funktioniert die Messung

Das Werkzeug erfasst die tatsächlich von unserem Server empfangenen Header für HTML-Navigation und fetch-Anfragen. Daneben liest es Client Hints, soweit der Browser diese für JavaScript freigibt.

Erkannte sensible Headerwerte werden vor der Anzeige maskiert. Cookie-Namen können ohne ihre Werte sichtbar bleiben. Das Modul erstellt kein Diagnoseprotokoll; die Hosting-Infrastruktur kann Anfragen unabhängig protokollieren.

Ergebnisse verstehen

Felder stimmen zwischen Anfragen überein

Diese Angaben kamen in beiden Kontexten gleich bei unserem Server an. Daraus folgt nicht, dass jede Website dieselben Details erhält.

Navigation und fetch unterscheiden sich

Anfragekontext, zuvor angeforderte Client Hints oder Verarbeitung durch Vermittler können Unterschiede erklären. Prüfen Sie die Rolle des Feldes.

Feld fehlt oder ist maskiert

Browser oder Vermittler können es weglassen; das Werkzeug kann sensible Werte verbergen. Fehlende Backend-TLS-Daten beweisen keine unverschlüsselte Browser-Verbindung.

Vorher und nachher vergleichen

1. Speichern Sie Erfassungen aus demselben Profil, derselben Herkunft und derselben Anfragestufe. Halten Sie auch erneutes Laden fest.
2. Ändern Sie eine Browser- oder Verbindungseinstellung und wiederholen Sie denselben Ablauf aus Navigation und fetch.
3. Vergleichen Sie gleiche Anfragekontexte. Trennen Sie Backend-Protokoll und TLS-Angaben von Nachweisen zur Browser-Verbindung mit dem Frontend.

Grenzen des Tests

• Weiterleitungs- oder Proxy-Header beweisen keine Anonymisierung und identifizieren allein keinen vertrauenswürdigen Vermittler.
• Maskierungsregeln erkennen nicht jedes Geheimnis in unauffällig benannten eigenen Headern. Prüfen Sie einen Export vor dem Teilen.

Was Sie gegebenenfalls ändern können

Sprach-Header passen nicht zur gewünschten Präferenz.

Prüfen Sie die Sprachreihenfolge im Browser und wiederholen Sie nach erneutem Laden die gleiche Erfassung.

Erwartete Client Hints fehlen.

Prüfen Sie HTTPS, Browser-Unterstützung und die Ladesequenz, bevor Sie das Fehlen als Schutzfunktion einordnen.

Häufige Fragen

Quellen und technische Hinweise

• MDN · HTTP headers
• MDN · Client hints