HTTP-Header

So funktioniert dieser Check

Als Ihr Browser diese Seite anforderte, sendete er vor allem anderen einen Block von Headern. Unser Server hat jeden davon erfasst, die Namen kleingeschrieben, alphabetisch sortiert und in der Tabelle oben ausgegeben, zusammen mit der Anfragemethode und der HTTP-Protokollversion der Verbindung. Nichts wird herausgefiltert, nichts von uns hinzugefügt; die Tabelle ist die Anfrage, wie sie uns erreicht hat.

Header mit bekannter Bedeutung tragen eine Erläuterung in der dritten Spalte. Header, die auf einen Proxy oder ein Tool hinweisen, sind markiert, und die Zusammenfassung über der Tabelle listet sie separat, weil sie für jeden zählen, der ein Proxy-Setup prüft. Dieselben Daten gibt es als JSON, sodass ein Skript oder Kommandozeilen-Client leicht vergleichen kann, was es sendet.

Die Seite ist bewusst schlicht. Header sind der Teil einer Anfrage, der sich vor dem Server nicht verbergen lässt, daher ist die Liste zugleich der passive Teil Ihres Browser-Fingerprints: die Information, die eine Website bei jedem Besuch sammelt, ohne eine Zeile Skript auszuführen. Der Browser-Fingerprint-Test hasht diese passive Menge und zeigt sie neben den per Skript gesammelten Signalen.

So lesen Sie Ihr Ergebnis

Die Proxy-Zeilen sind die, auf die Sie reagieren müssen. Ein Browser sendet sie nie. Erscheint eine, hat etwas zwischen Ihrem Browser und unserem Server sie eingefügt. X-Forwarded-For, Forwarded, X-Real-IP und Client-IP enthalten üblicherweise die Adresse des Clients, für den der Proxy weiterleitet — also Ihre echte Adresse; vergleichen Sie den Wert mit der IP in der Proxy-Erkennung. Via und X-Proxy-ID tragen Ihre Adresse nicht, kündigen aber einen Proxy an, was strenge Websites als Signal werten. Der Anonymitäts-Score zieht 10 Punkte ab, wenn einer davon vorhanden ist.

Referer und Origin sagen einer Website, woher Sie kamen. Bei einem direkt eingetippten Besuch gibt es keinen Referer; ein Link von einer anderen Website sendet deren Adresse, gekürzt nach der Richtlinie der verweisenden Website. Sec-Fetch-Site sagt, ob die Anfrage same-origin, same-site, cross-site oder nutzerinitiiert war.

Accept-Language verrät mehr, als es scheint. Es listet Ihre konfigurierten Sprachen in Präferenzreihenfolge mit regionalen Varianten. Eine Liste, die mit einer für das IP-Land ungewöhnlichen Sprache beginnt, ist eine weiche Abweichung; Englisch zuerst wird überall akzeptiert. Der Wert ist zugleich eine Fingerprinting-Eingabe, denn die exakte Liste und Reihenfolge variiert zwischen Personen.

Client Hints erscheinen nur in Chromium-Browsern. Die Low-Entropy-Hints — Marken, Mobil-Flag und Plattform — werden mit jeder Anfrage gesendet. High-Entropy-Hints wie vollständige Versionsliste, Architektur, Bitness und Modell nur, wenn eine Website sie in einer früheren Antwort angefordert hat.

Do Not Track und Global Privacy Control werden von wenigen Websites beachtet, und weil wenige sie aktivieren, macht ihre Anwesenheit einen Browser etwas unverwechselbarer — kein Argument dagegen, nur eine Tatsache.

So beheben Sie es

Proxy-Header vorhanden

1. Quelle ermitteln. Haben Sie einen Proxy im Browser oder System gesetzt, ist er es. Haben Sie nichts gesetzt und sehen Via oder X-Forwarded-For, betreibt Ihr Anbieter oder Netzwerk einen transparenten Proxy oder Cache, üblich bei Mobilfunkanbietern und in Büros.
2. Einen eigenen Proxy in einen Modus ohne Header schalten, oft Elite oder High-Anonymity genannt. Bei einem kommerziellen Proxy den Anbieter nach einem Elite-Port oder anderen Pool fragen; das Verhalten ist pro Proxy, nicht pro Browser.
3. Bei einem transparenten Anbieter-Proxy ist ein VPN der Ausweg: Der Tunnel trägt Ihre Anfragen am Proxy vorbei, der nur verschlüsselten Verkehr sieht.
4. Seite neu laden. Die Proxy-Zusammenfassung sollte „keine“ sagen, und die Proxy-Zeile im Anonymitäts-Score sollte bestehen.

Header, die dem Rest des Setups widersprechen

1. Ein User-Agent, der eine Plattform nennt, während sec-ch-ua-platform eine andere nennt, bedeutet, dass eine Erweiterung oder ein Profil einen von beiden umschreibt. Override entfernen oder ein Profil nutzen, das beide gemeinsam setzt.
2. Ein Accept-Language, das nicht zum IP-Land passt, wird in den Spracheinstellungen des Browsers korrigiert: Chrome und Edge unter Einstellungen → Sprachen; Firefox unter Einstellungen → Allgemein → Sprache; Safari folgt der Systemsprachliste.

Referer-Preisgabe. Um die Herkunftsseite nicht an andere Websites zu senden, die Referrer-Richtlinie des Browsers auf strict-origin-when-cross-origin (Standard aktueller Browser) oder per Erweiterung bzw. Firefox-Einstellung network.http.referer auf no-referrer setzen.

Für Entwickler und Skripte. Die JSON-Version dieser Seite aus Ihrem Tool abrufen, um exakt zu sehen, welche Header es sendet. Ein Skript, das einen Browser-User-Agent behauptet, aber kein Accept-Language, keine Sec-Fetch-Header und keine Client Hints sendet, ist für eine Website leicht von einem Browser zu unterscheiden. Header explizit setzen (etwa -H in curl) und die JSON-Ausgabe vorher und nachher vergleichen.

Grenzen dieses Checks

• Wir sehen nur, was unseren Server erreicht. Ein CDN oder Edge-Netzwerk vor einer Website kann Header entfernen, umschreiben oder hinzufügen, bevor die Website sie sieht.
• Nur Request-Header. Response-Header werden nicht gezeigt; die Entwicklertools Ihres Browsers zeigen beide.
• Cookies sind website-gebunden. Beim ersten Besuch gibt es keine.
• Die Header-Reihenfolge geht verloren. Wir sortieren alphabetisch. Manche Fingerprinting-Systeme nutzen die Originalreihenfolge als Signal.
• Verschlüsselter Transport verbirgt Header vor dem Netzwerk, nicht vor dem Server. HTTPS verhindert das Mitlesen auf dem Weg, nicht das Lesen durch die besuchte Website.
• Proxy-Erkennung ist header-basiert. Ein Proxy ohne Header ist für diesen Check unsichtbar; den Netzwerktyp seiner Adresse decken Proxy-Erkennung und IP-Checker ab.

Wie ein transparentes Proxy-Header-Leak aussieht

Ein transparenter Proxy sitzt zwischen Ihnen und dem Internet, leitet Ihre Anfragen unter seiner eigenen Adresse weiter und schreibt Ihre ursprüngliche Adresse in X-Forwarded-For oder Forwarded, damit das Ziel weiterhin protokollieren kann, wer gefragt hat. Das Ziel sieht zwei Adressen: die des Proxys als Verbindungsquelle und Ihre im Header. Bei Caching-Proxys eines Anbieters ist das harmlose Buchführung. Bei einem Proxy, den Sie gekauft haben, um Ihren scheinbaren Standort zu ändern, macht es den Zweck zunichte, denn das Erste, was eine sorgfältige Website liest, ist dieser Header. Der Glossareintrag Proxy-Header listet jeden Header, wer ihn hinzufügt und welchen Wert er trägt.

Warum sich die Header-Liste zwischen Browsern unterscheidet

Jede Browser-Engine hat eigene Standards: welche Accept-Typen sie listet, ob sie Client Hints sendet, welche Sec-Fetch-Header sie einschließt, wie sie Accept-Language formatiert, ob sie einen priority-Header bei HTTP/2 oder HTTP/3 sendet. Versionen ändern das im Lauf der Zeit. Die Unterschiede sind groß genug, dass ein Server die Browserfamilie meist allein aus dem Header-Satz benennen kann, selbst ohne User-Agent. Deshalb reicht es nicht, den User-Agent umzuschreiben, um wie ein anderer Browser auszusehen.

Header aus einem Skript oder der Kommandozeile lesen

Wer einen Scraper, ein Monitoring-Tool oder eine Integration betreibt, sieht in der JSON-Ausgabe dieser Seite am schnellsten, was er sendet. Rufen Sie die Seite mit einem Accept-Header application/json auf und vergleichen Sie mit einem Browser: Ein Browser sendet ein Dutzend Header in erkennbarem Muster, ein nackter Client zwei oder drei. Websites, die den Zugang daran knüpfen, wie ein Browser auszusehen, prüfen genau diesen Unterschied. Ehrliche Tools fahren besser, sich klar zu identifizieren und Ratenlimits zu respektieren, als einen Browser unvollständig zu imitieren.