Sicherheits-Header mit CLI prüfen – so geht’s ohne manuelles Kopieren

Die Prüfung von HTTP-Sicherheitsheaders gehört zu den wichtigsten, aber oft vernachlässigten Aufgaben in der Webentwicklung. Entwickler kopieren Webadressen in Online-Tools wie securityheaders.com, analysieren die Ergebnisse und hoffen, dass niemand den Content-Security-Policy-Header (CSP) in den letzten Wochen deaktiviert hat. Doch dieser Prozess ist fehleranfällig und unterbricht den Arbeitsfluss. Eine effizientere Lösung bietet das Open-Source-Tool @hailbytes/security-headers, das die Prüfung direkt in der Konsole ermöglicht – als eigenständiges CLI, als Bibliothek für die Integration in eigene Skripte oder als automatische Prüfung in CI/CD-Pipelines.

HTTP-Sicherheitsheader ohne Umwege prüfen

Das Tool ermöglicht es, Sicherheitsheader zu analysieren, ohne manuell URLs in Browser zu kopieren. Stattdessen reicht ein einfacher Befehl im Terminal, um eine detaillierte Bewertung zu erhalten. Die Ergebnisse werden farbig und strukturiert angezeigt, sodass Schwachstellen sofort ins Auge fallen. Wer die Ausgabe in Maschinenlesbares JSON umwandeln möchte, kann das mit dem Flag --json tun. Besonders nützlich ist die Option, die Prüfung als Gate in CI-Pipelines zu integrieren: Bei einer Bewertung von D oder F bricht das Skript ab und verhindert so den Einsatz unsicherer Versionen.

npx @hailbytes/security-headers 

Falls die Ausgabe im JSON-Format gewünscht ist, etwa für die Weiterverarbeitung in anderen Tools, lässt sich das mit folgendem Befehl erreichen:

npx @hailbytes/security-headers  --json

Ein weiterer Vorteil: Entwickler können das Tool auch als Bibliothek in ihre eigenen Projekte einbinden. So lässt sich die Sicherheitsprüfung direkt in die Anwendung integrieren, etwa in Middleware, die vor dem Versenden der Antwort die Header bewertet.

Integration als Bibliothek in eigene Projekte

Für Entwickler, die die Prüfung direkt in ihre Anwendungen einbetten möchten, bietet das Package eine praktische Programmierschnittstelle. Die Funktion analyze übernimmt die Bewertung einer Webadresse und gibt ein detailliertes Ergebnis zurück. Dieses enthält unter anderem die Bewertung (Grade A+ bis F), eine prozentuale Punktzahl sowie konkrete Empfehlungen zur Behebung von Sicherheitslücken.

import { analyze } from '@hailbytes/security-headers';

const report = await analyze(');

// Beispielausgabe:
// {
//   grade: 'A+',
//   score: 95,
//   percentage: 95,
//   headers: [
//     { name: 'strict-transport-security', status: 'good', score: 10, recommendation: '...' },
//     { name: 'content-security-policy', status: 'good', score: 20, recommendation: '...' },
//     ...
//   ]
// }

Wer bereits über die Header verfügt, etwa aus Tests oder Middleware, kann diese direkt an die Funktion analyzeHeaders übergeben. So lassen sich Sicherheitslücken bereits vor dem Deployment erkennen – ohne externe Abhängigkeiten.

import { analyzeHeaders } from '@hailbytes/security-headers';

const report = analyzeHeaders({
  'strict-transport-security': 'max-age=31536000; includeSubDomains',
  'content-security-policy': "default-src 'self'",
  'x-frame-options': 'DENY',
  // ... weitere Header
});

Welche Sicherheitsheader werden geprüft?

Das Tool bewertet insgesamt sieben Kategorien von HTTP-Sicherheitsheaders, die für die Sicherheit einer Webanwendung entscheidend sind. Jeder Header erhält eine Bewertung in Form einer Punktzahl, eines Status (gut, Warnung, fehlt, Fehler) sowie konkreter Handlungsempfehlungen. Diese können direkt in Tickets oder Dokumentationen übernommen werden.

Die geprüften Header umfassen:

• Strict-Transport-Security (HSTS): Erzwingt die Nutzung von HTTPS und schützt vor Downgrade-Angriffen.
• Content-Security-Policy (CSP): Beschränkt die Quellen, aus denen Skripte, Styles und andere Ressourcen geladen werden dürfen.
• X-Frame-Options: Verhindert das Einbetten der Seite in Frames, um Clickjacking zu verhindern.
• X-Content-Type-Options: Unterbindet MIME-Sniffing und schützt vor gefährlichen Dateiausführungen.
• Referrer-Policy: Steuert, welche Referrer-Informationen an andere Seiten weitergegeben werden.
• Permissions-Policy: Beschränkt die Nutzung von Browser-Features wie Kamerazugriff oder Geolokalisierung.
• Cross-Origin-Familie (COEP/COOP/CORP): Ermöglicht sichere Cross-Origin-Kommunikation und schützt vor Spectre-ähnlichen Angriffen.

Die Bewertung erfolgt nach einem klaren Punktesystem, das von A+ (90 % oder mehr) bis F (unter 20 %) reicht. Diese Skala ermöglicht es Teams, Sicherheitsstandards einfach zu kommunizieren und Verbesserungen priorisiert umzusetzen.

Fazit: Sicherheit automatisieren und Risiken minimieren

Die manuelle Prüfung von Sicherheitsheaders ist nicht nur ineffizient, sondern auch fehleranfällig. Mit dem CLI-Tool @hailbytes/security-headers lässt sich dieser Prozess vollständig automatisieren – sei es als Teil von CI/CD-Pipelines, in lokalen Skripten oder direkt in der Anwendung. Die Integration ist denkbar einfach, und die detaillierten Ausgaben helfen Entwicklern, Sicherheitslücken schnell zu erkennen und zu beheben. Besonders in Zeiten zunehmender Cyberangriffe ist eine solche Automatisierung kein Luxus, sondern eine Notwendigkeit. Wer seine Sicherheitsheader regelmäßig prüft, minimiert nicht nur das Risiko von Angriffen, sondern spart auch wertvolle Entwicklungszeit.