HTTP/3- und QUIC-Unterstützung
Ob der Server HTTP/3 anbietet. Es baut Verbindungen in weniger Umläufen auf, was vor allem im Mobilfunk auffällt. Optional.
HTTP/3 ist die neueste Version von HTTP. Statt über TCP läuft es über QUIC, ein UDP-basiertes Protokoll mit eingebautem TLS 1.3. Eine neue Verbindung braucht weniger Umläufe, bis Daten fließen, und ein verlorenes Paket hält nicht mehr alle anderen Dateien derselben Verbindung auf. Am deutlichsten merkt man das im Mobilfunk mit hoher Latenz und Paketverlust; an einem schnellen Festnetzanschluss ist der Unterschied gering.
So prüft SiteScan
Von HTTP/3 erfahren Browser über den Header Alt-Svc, der es für die nächste Verbindung anbietet. Der Scanner liest diesen Header auf der Startseite: Bietet er h3 an, zeigt die Zeile HTTP/3 der Gruppe „Auslieferung und Reputation“ „Angeboten“ mit grünem Haken, und HTTP/3 steht zusätzlich in der Zeile „Protokolle“ der Gruppe „Technologie“. „Nicht angeboten“ erscheint mit grauem Strich statt einer Warnung – HTTP/3 ist optional, und eine Website mit HTTP/2 ist völlig in Ordnung.
So aktivieren Sie es
- CDNs wie Cloudflare, Fastly oder CloudFront bieten HTTP/3 als Schalter in den Einstellungen – der einfachste Weg.
- nginx ab 1.25:
listen 443 quic reuseport;neben dem üblichenlisten 443 ssl;, dazuhttp3 on;undadd_header Alt-Svc 'h3=":443"; ma=86400';. - Öffnen Sie UDP-Port 443 in der Firewall, sonst fallen Browser stillschweigend auf HTTP/2 zurück.
HTTP/2 bleibt immer als Rückfallebene erhalten, HTTP/3 sperrt also niemanden aus. Die Geschwindigkeit selbst messen die Core Web Vitals.
Prüfen Sie diesen Punkt auf Ihrer eigenen Website
Starten Sie einen kostenlosen Scan: Der Bericht zeigt diese Zeile für Ihre Domain zusammen mit den übrigen Prüfungen des Audits.
Mehr unter „Auslieferung und Reputation“
Was SiteScan prüft
TLS-Zertifikat
- Ablauf des SSL/TLS-Zertifikats
- Veraltete TLS-Versionen (1.0 und 1.1)
- TLS-Zertifikatskette
- Aussteller des TLS-Zertifikats
- Signaturalgorithmus des Zertifikats
Domain-Registrierung
- Ablauf der Domainregistrierung
- Registrierter Domainname
- Domain-Registrar
- Registrierungsdatum der Domain
- Letzte Änderung der Domain
- Domain-Statuscodes (EPP)
- Transfersperre der Domain
- Abuse-Kontakt des Registrars
- Datenquelle RDAP und WHOIS
Indexierung
- robots.txt-Datei
- In robots.txt gesperrtes CSS und JS
- XML-Sitemap (sitemap.xml)
- Sitemap-Index-Datei
- Fremde URLs in der Sitemap
- lastmod-Daten in der Sitemap
- Defekte URLs in der Sitemap
- RSS- und Atom-Feed
Adressen und Weiterleitungen
- Weiterleitung von HTTP auf HTTPS
- Weiterleitung zwischen www und ohne www
- Länge der Weiterleitungskette
- 404-Fehlerbehandlung und Soft 404
Security-Header
- HTTP-Security-Header und Note
- Strict-Transport-Security-Header (HSTS)
- Content-Security-Policy-Header (CSP)
- X-Content-Type-Options: nosniff
- X-Frame-Options und Clickjacking-Schutz
- Referrer-Policy-Header
- Permissions-Policy-Header
- HSTS-Preload-Liste
- CORS und Cross-Origin-Zugriff
- HTTP-Methode TRACE
Auslieferung und Reputation
- Cache-Control-Header für HTML
- Revalidierung mit ETag und Last-Modified
- HTTP/3- und QUIC-Unterstützung
- Softwareversionen in Server-Headern
- Prüfung auf DNS-Blocklisten (DNSBL)
Interne Links
Offenliegende Dateien
- Offenliegende Dateien wie .env und .git
- Aktiviertes Verzeichnis-Listing
- Öffentliche JavaScript-Source-Maps
- Offene WordPress-Endpunkte
Konventionsdateien
- Die Datei security.txt
- llms.txt für KI-Assistenten
- Die Datei llms-full.txt
- ads.txt für autorisierte Werbeverkäufer
- Die Datei humans.txt
- Well-known-Adresse change-password
DNS und E-Mail
- MX-Einträge (Mailserver)
- SPF-Eintrag
- DMARC-Eintrag und Policy
- DNSSEC-Signierung
- CAA-Eintrag
- Redundante Nameserver
- IPv6-Unterstützung (AAAA-Eintrag)
- MTA-STS-Policy
- TLS-RPT-Eintrag für Berichte
- BIMI-Eintrag (Logo im Postfach)
- Wildcard-DNS-Eintrag
- Verwaister CNAME und Subdomain-Übernahme
Datenschutz und Einwilligung
- Analyse- und Tracking-Skripte
- Cookie-Consent-Banner
- Datenschutzerklärung
- Nutzungsbedingungen und AGB
- Impressum
- Barrierefreiheitserklärung
Core Web Vitals
- Lighthouse-Performance-Score
- Largest Contentful Paint (LCP)
- Cumulative Layout Shift (CLS)
- Interaction to Next Paint (INP)
- CrUX-Felddaten und Labordaten