HTTP-Header-Test

Am kritischsten: X-Robots-Tag (serverseitiges Äquivalent zu <meta name="robots">, kann eine Seite unbemerkt deindexieren). Dann: Cache-Control und Vary (Auswirkung auf Crawl-Budget und CDNs), Link (Canonical und hreflang vom Server), Content-Type mit Charset (Encoding), Last-Modified und ETag (bedingte 304). Sicherheitsseitig: HSTS, CSP, X-Content-Type-Options.

HSTS (Strict-Transport-Security) muss auf der HTTPS-Version ausgeliefert werden. Sieht das Tool es trotz HTTPS nicht, ist das ein echtes Problem: Ihre Seite weist Browser nicht an, bei Folgebesuchen immer HTTPS zu verwenden, was Nutzer beim Erstbesuch SSL-Downgrade-Angriffen aussetzt. Fügen Sie Strict-Transport-Security: max-age=31536000; includeSubDomains; preload in Ihrer Server- oder CDN-Konfig ein.

Drei typische Fälle. Erstens wird er auf der falschen URL gesetzt, Google liest ihn auf der kanonischen URL, nicht auf Varianten. Zweitens liegt er auf der OK-Antwort, aber Google fetcht über eine 301, prüfen Sie die Redirect-Kette. Drittens matcht der adressierte Bot nicht, X-Robots-Tag: googlebot: noindex gilt nur für Googlebot, nicht für Bingbot. Bevorzugen Sie X-Robots-Tag: noindex ohne Präfix, um alle Bots anzusprechen.

Modern hat Cache-Control Vorrang, Expires ist HTTP/1.0-Legacy und wird ignoriert, wenn Cache-Control gesetzt ist. Nützliche SEO-Direktiven: public (erlaubt CDN-Caching), max-age=N (Dauer in Sekunden), s-maxage=N (CDN-Override), stale-while-revalidate=N (liefert die abgelaufene Version, während neu erzeugt wird). no-cache und no-store auf SEO-Seiten vermeiden, sie erzwingen Revalidierung bei jedem Request.