Kostenloses Tool: Technik

Kostenloser Website-Check

Ein Scan der eingegebenen Seite und bis zu vier weiterer wichtiger Seiten, mit Ergebnissen in sieben Bereichen: Barrierefreiheit, EAA-Readiness, SEO, Ladezeit, Conversion, Sicherheit und E-Mail-Authentifizierung. Starten Sie hier, um zu sehen, wo die größten Probleme liegen, bevor Sie entscheiden, was Sie beheben.

Kostenlos. Testet bis zu fünf wichtige Seiten in etwa einer Minute.

Was dieses Tool prüft

  • Barrierefreiheit

    Die Regeln von axe-core für WCAG 2.2 Stufe A und AA auf jeder getesteten Seite, dazu ein Tastaturtest auf Fokusfallen, Skip-Links und fehlende Fokus-Umrandungen.

  • EAA-Readiness

    Automatisiert gefundene Barrierefreiheitsmängel, zugeordnet zur EN 301 549, der europäischen Norm, die für den European Accessibility Act herangezogen wird.

  • SEO

    Titel, Beschreibungen, H1, Canonicals, noindex, robots.txt, die XML-Sitemap, Viewport, Sprache, Open Graph und strukturierte Daten.

  • Ladezeit

    Ladezeiten, Layout-Verschiebung, lange Tasks, Seitengewicht, schwere Bilder und der Anteil von Drittanbietern, gemessen bei denselben Seitenaufrufen. Der Smartphone-Test mit langsamem 4G ist im Ladezeit-Test enthalten.

  • Conversion

    Handlungsaufforderungen, Kontaktwege, Formulare und Vertrauensinhalte wie Kundenstimmen und Links zu Richtlinien. Bei Shops zusätzlich Prüfungen zu Produkt und Warenkorb, etwa Preis, „In den Warenkorb“-Button und Checkout-Button.

  • Passive Sicherheit

    Das Zertifikat, die Weiterleitung von HTTP auf HTTPS, Sicherheits-Header, Cookie-Flags, Mixed Content, veraltete Versionen von jQuery und Lodash, security.txt und die DMARC-Policy, die vor gefälschten E-Mails schützt.

  • E-Mail-Authentifizierung

    SPF, DKIM unter gängigen Selektoren, DMARC, BIMI und MTA-STS, gelesen aus dem öffentlichen DNS.

  • Art der Website und Technologie

    Die Art der Website (Shop, SaaS oder App, Unternehmens-Website, Blog, Verlag, Bildung, Behörde, Gesundheitswesen, Hotel oder Landingpage) und ihre Plattform aus 18 Technologien, erkannt anhand öffentlicher Belege und mit einem Konfidenzgrad angegeben. Beides bestimmt, welche Seiten und Prüfungen verwendet werden.

Was es nicht prüfen kann

  • In einem einzelnen Bereich in die Tiefe gehen. Jeder Bereich zeigt seine wichtigsten Befunde; der passende kostenpflichtige Report führt mehr Tests aus und liefert die Lösung für jeden Befund.
  • Mehr als fünf Seiten, Seiten hinter einem Login oder einen Checkout testen.
  • Einen Penetrationstest ersetzen. Die Sicherheitsprüfungen lesen nur, was der Browser eines Besuchers und das öffentliche DNS zeigen.
  • Jeden DKIM-Schlüssel finden. Selektoren lassen sich nicht auflisten, daher werden nur die geprüft, die gängige E-Mail-Dienste verwenden.
  • Rechtsfragen beantworten, etwa ob der ADA oder der EAA für Sie gilt oder ob Sie die Anforderungen erfüllen.
  • Ergebnisse wie Rankings, Conversion-Raten, Umsätze oder die Zustellung ins Postfach messen.

Warum das wichtig ist

Probleme einer Website bleiben selten auf einen Bereich beschränkt. Ein Bilderkarussell kann zugleich der Barrierefreiheitsmangel, die schwerste Datei der Seite und der Grund dafür sein, dass die Handlungsaufforderung unterhalb des ersten Bildschirms liegt. Ein Cookie-Banner kann den Tastaturfokus festhalten und gleichzeitig das Layout verschieben. Wenn Sie alle Bereiche in einem Scan sehen, erkennen Sie, wo eine einzige Änderung mehrere Probleme behebt.

Eine breite Prüfung findet auch, wofür niemand zuständig ist. Einträge zur E-Mail-Authentifizierung werden einmal eingerichtet und dann vergessen; ohne durchgesetzte DMARC-Policy können andere E-Mails versenden, die scheinbar von Ihrer Domain stammen. Ablaufende Zertifikate, fehlende Sicherheits-Header und ein altes, von einem Plugin mitgeliefertes jQuery bleiben ebenso unauffällig, bis etwas kaputtgeht.

Da der Scan erkennt, welche Art von Website er testet, passen die Prüfungen: Ein Shop erhält Prüfungen zu Produkt und Warenkorb, eine SaaS-Website ihre Preisseite, ein Blog seine Artikel. Die Erkennung zeigt ihre Belege und ihren Konfidenzgrad, sodass Sie erkennen, wenn sie falsch geraten hat.

So lesen Sie die Ergebnisse

Problem
Ein eindeutiges Problem, das die Prüfungen bestätigt haben, etwa eine nicht bestandene WCAG-Regel, eine auf noindex gesetzte Seite oder ein fehlender DMARC-Eintrag.
Prüfen
Etwas, das sich ein Mensch ansehen sollte, weil Software es nicht entscheiden kann oder es beabsichtigt sein kann, etwa ein Punkt, den axe-core nicht klären konnte, oder eine Seite, die andere Websites einbetten können.
Chance
Eine Verbesserung statt eines Fehlers, etwa eine fehlende Content Security Policy oder eine Handlungsaufforderung unterhalb des ersten Bildschirms.
Bestanden
Die Prüfung lief und hat auf den getesteten Seiten nichts Fehlerhaftes gefunden.
Info
Kontext statt eines Urteils, zum Beispiel Sicherheits-Header, die Shopify für jeden Shop setzt und die Sie nicht ändern können.
Art der Website und Konfidenz
Wofür der Scan Ihre Website hält, mit den Belegen dafür. Sind die Belege dünn, wird die Website als allgemeine Website behandelt und erhält trotzdem jede Prüfung, die zu jeder Website passt.
Technologie
Die erkannte Plattform oder das erkannte Framework, etwa Shopify, WordPress, Webflow oder Next.js. Sie bestimmt, welche plattformspezifischen Lösungsschritte Sie sehen.

So beheben Sie die häufigsten Probleme

  • Keine DMARC-Policy

    Veröffentlichen Sie einen TXT-Eintrag unter _dmarc.yourdomain.com, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, um Berichte zu erhalten. Sobald die Berichte zeigen, dass jeder Dienst, der für Sie sendet, SPF oder DKIM besteht, wechseln Sie zu p=quarantine und danach zu p=reject.

  • HTTP leitet nicht auf HTTPS weiter

    Aktivieren Sie bei Ihrem Hoster oder CDN die Option, HTTPS zu erzwingen, oder richten Sie für jeden Pfad eine 301-Weiterleitung von http:// auf https:// ein. Sobald HTTPS überall funktioniert, ergänzen Sie einen Strict-Transport-Security-Header.

  • Fehlende Sicherheits-Header

    Beginnen Sie mit X-Content-Type-Options: nosniff, einer Referrer-Policy wie strict-origin-when-cross-origin und frame-ancestors in einer Content Security Policy (oder X-Frame-Options), damit andere Websites Ihre Seiten nicht einbetten können. Eine vollständige Content Security Policy muss getestet werden; beginnen Sie daher mit Content-Security-Policy-Report-Only.

  • Veraltetes jQuery oder Lodash

    Aktualisieren Sie auf eine aktuelle Version, oder entfernen Sie die Bibliothek, wenn nichts sie nutzt. Bei WordPress stammen alte Kopien meist von einem Theme oder Plugin, das seine eigene mitliefert; die Lösung ist dann, dieses Plugin zu aktualisieren oder zu ersetzen.

  • SPF mit zu vielen Lookups

    SPF erlaubt höchstens 10 DNS-Lookups. Entfernen Sie include:-Einträge für Dienste, die Sie nicht mehr nutzen, vermeiden Sie verschachtelte Includes, wo es geht, und stellen Sie sicher, dass die Domain nur einen SPF-Eintrag veröffentlicht.

  • Keine klare Handlungsaufforderung

    Platzieren Sie eine primäre Aktion, etwa „Demo buchen“, „Angebot anfordern“ oder „Neuheiten entdecken“, im ersten Bildschirm der Startseite als echten Link oder Button mit konkretem Text, und wiederholen Sie sie nach den wichtigsten Abschnitten.

Fragen zu diesem Tool

Was umfasst der kostenlose Website-Check?

Die eingegebene Seite und bis zu vier weitere wichtige Seiten, getestet in einem echten Browser, dazu websiteweite Prüfungen von robots.txt, Sitemap, Zertifikat, Response-Headern und DNS-Einträgen. Die Ergebnisse sind in sieben Bereiche gegliedert, jeder mit seinen wichtigsten Befunden.

Wie lange dauert der Check?

Bei den meisten Websites etwa eine Minute, da fünf Seiten geladen und getestet werden. Wurde dieselbe Adresse in der letzten Stunde gescannt, können diese Ergebnisse wiederverwendet werden.

Kann die Sicherheitsprüfung bedenkenlos auf einer Live-Website laufen?

Ja. Sie liest nur, was der Browser eines Besuchers und das öffentliche DNS zeigen: Zertifikat, Header, Cookies, Skripte und Einträge. Sie probiert nie Passwörter aus, sucht nicht nach versteckten Pfaden und sendet keinen Angriffstraffic.

Wie wird die Art der Website erkannt?

Anhand öffentlicher Belege auf Ihren Seiten: strukturierte Daten, Generator-Tags, Skripte und die Beschriftungen von Links und Buttons. Jede Einordnung hat einen Konfidenzgrad und zeigt ihre Belege, sodass eine falsche Einschätzung leicht zu erkennen ist.

Warum wurden weniger als fünf Seiten getestet?

Die wichtigen Seiten werden aus den Links der eingegebenen Seite ausgewählt. Bei einer kleinen Website oder wenn eine Seite auf eine andere Website weiterleitet, einen Fehler zurückgibt oder blockiert wird, können weniger Seiten getestet werden.

Mit welchem kostenpflichtigen Report sollte ich beginnen?

Mit dem für den Bereich, dessen Probleme Ihnen am wichtigsten sind. Jeder Bereich des Checks verlinkt auf seinen Report, der mehr Seiten testet oder zusätzliche Tests ausführt und die Lösung für jeden Befund liefert.

Quellen

Verwandte Tools