Audit-Referenz

Alle Audit-Checks — erklärt

Alle 116 Checks die Pantra auf deiner Site laufen lässt, mit was sie messen, warum sie wichtig sind und wie du sie fixt. Für Lovable, Cursor, Bolt, v0, Replit, Windsurf, Claude Code und Base44.

SEO

21 Checks

Meta Title

Prüft ob jede Seite einen einzigartigen, keyword-relevanten <title>-Tag zwischen 10-60 Zeichen hat.

Meta Description

Prüft ob jede Seite eine einzigartige Meta-Description zwischen 50-160 Zeichen hat.

H1-Tag

Prüft ob jede Seite genau einen H1-Tag mit dem Hauptkeyword hat.

Heading-Hierarchie

Prüft Heading-Reihenfolge — H1 → H2 → H3 ohne Sprünge.

Canonical-Tag

Prüft ob die kanonische URL korrekt gesetzt ist und auf die bevorzugte Version zeigt.

Meta Robots

Prüft auf unbeabsichtigte noindex- oder nofollow-Direktiven.

Open-Graph-Tags

Prüft auf og:title, og:description, og:image und og:url im <head>.

Twitter Cards

Prüft twitter:card, twitter:title, twitter:description und twitter:image Tags.

Hreflang-Tags

Prüft hreflang-Tags auf mehrsprachigen Sites auf Korrektheit und Reziprozität.

Sitemap.xml

Prüft ob sitemap.xml im Root existiert, valides XML ist und indexierbare URLs listet.

robots.txt

Prüft robots.txt auf korrekte Syntax und ob Such- und AI-Crawler erlaubt sind.

Sitemap Lastmod

Prüft ob Sitemap-URLs einen <lastmod>-Zeitstempel haben der echte Änderungen reflektiert.

Keine noindex-URLs in Sitemap

Prüft dass Sitemap-URLs nicht noindex sind.

Keine Redirects in Sitemap

Prüft dass Sitemap-URLs direkt 200 zurückgeben, nicht per 301 oder 302.

Seiten-Wortanzahl

Prüft Content-Dichte pro Seite — dünne Seiten (unter 300 Wörter) ranken schlecht.

Interne Verlinkung

Prüft Anzahl und Verteilung interner Links — zu wenige schaden dem Crawl, zu viele verwässern Link-Equity.

Externe Zitate

Prüft ausgehende Links zu autoritativen Quellen — Qualitätssignal und AI-Zitations-Hilfe.

Frage-Headings

Prüft Frage-Style H2/H3-Headings — verbessert AI-Zitate und Featured-Snippet-Chancen.

Duplicate Content

Prüft auf Duplicate-Content zwischen URLs — ein stiller Ranking-Killer.

Bild-Alt-Text

Prüft ob jedes Content-Bild einen sinnvollen Alt-Text hat.

Core Web Vitals

SEO-Sicht auf Core Web Vitals — LCP, CLS, INP sind Ranking-Signale auf Mobile.

Sicherheit

28 Checks

HTTPS aktiv

Prüft ob die Site über HTTPS ausliefert und HTTP auf HTTPS redirected.

TLS-Version

Prüft dass der Server TLS 1.2 oder höher nutzt — ältere Versionen sind kaputt.

Mixed Content

Prüft HTTP-Ressourcen auf HTTPS-Seiten — Browser blockieren oder warnen.

SSL-Zertifikat

Prüft dass das SSL-Zertifikat gültig, nicht abgelaufen und nicht bald ablaufend ist.

HSTS-Header

Prüft Strict-Transport-Security-Header — blockiert HTTPS-Downgrade-Angriffe.

Content-Security-Policy

Prüft CSP-Header der Script-Quellen einschränkt — wichtiger XSS-Schutz.

X-Content-Type-Options

Prüft X-Content-Type-Options: nosniff — verhindert MIME-Sniffing-Angriffe.

X-Frame-Options

Prüft X-Frame-Options — blockiert iframe-Embedding gegen Clickjacking.

Referrer-Policy

Prüft Referrer-Policy — steuert wie viel Referrer-Info zu anderen Sites leakt.

Permissions-Policy

Prüft Permissions-Policy — schränkt Browser-Features ein (Kamera, Mikro usw.).

Server-Header versteckt

Prüft dass der Server-Response-Header keine Versions-Info leakt.

Exponierte API-Keys

Prüft das Client-JS-Bundle auf exponierte Secrets (Stripe, OpenAI, Supabase-Service-Keys usw.).

Supabase Row Level Security

Prüft ob Supabase-Tabellen RLS aktiv haben mit Policies.

SPF-Record

Prüft DNS auf SPF-Record — verhindert dass andere Mails als deine Domain senden.

DMARC-Record

Prüft DNS auf DMARC-Record — sagt Empfängern was mit gespooften Mails zu tun ist.

CAA-Record

Prüft DNS auf CAA-Record — beschränkt welche CAs Certs für deine Domain ausstellen dürfen.

Cookie-Security-Flags

Prüft dass Session- und Auth-Cookies Secure, HttpOnly und SameSite-Flags setzen.

Subresource Integrity

Prüft dass Third-Party-Scripts SRI-Hashes nutzen gegen Manipulation.

Formular-Sicherheit

Prüft Formulare auf HTTPS-Action, CSRF-Tokens und Autocomplete-Attribute.

X-Powered-By versteckt

Prüft dass X-Powered-By-Header keinen Framework-Stack leakt.

Directory Listing

Prüft exponierte Directory-Listings auf gängigen Paths (/.git, /.env, /admin usw.).

Source Maps

Prüft exponierte Source-Maps die den Original-Source-Code freigeben.

Inline-Scripts

Prüft Inline-<script>-Blöcke die Strict-CSP brechen und XSS einladen.

Open Redirects

Prüft URL-Parameter die auf beliebige externe Domains redirecten — Phishing-Helfer.

Iframe-Sandboxing

Prüft eingebettete Iframes auf sandbox-Attribut mit Einschränkungen.

Deprecated/Unsichere APIs

Prüft Nutzung deprecated/unsicherer JS-APIs (eval, document.write, innerHTML).

Externer-Link-Schutz

Prüft externe Links mit target="_blank" auf rel="noopener".

Information Disclosure

Prüft Error-Pages, Stack-Traces und Debug-Output auf Info-Leaks.

AI-Suche (GEO)

5 Checks

Technik

28 Checks

SSR / Pre-Rendering

Prüft ob die Seite server-gerendert oder statisch pre-rendered ist.

HTTP-Statuscodes

Prüft korrekte Statuscodes — 200 für live, 404 für nicht vorhanden, 301 für verschoben.

Keine Client-Side-Redirects

Prüft dass Redirects server-seitig passieren, nicht per JavaScript.

Viewport-Meta-Tag

Prüft auf <meta name="viewport" content="width=device-width, initial-scale=1">.

HTML-lang-Attribut

Prüft dass <html> ein lang-Attribut hat das zur Seitensprache passt.

UTF-8-Charset

Prüft <meta charset="utf-8"> oben im <head>.

Keine Redirect-Ketten

Prüft dass Redirects direkt zum Ziel gehen — keine A→B→C-Ketten.

WWW-Konsistenz

Prüft dass nur www oder Apex kanonisch ist, das andere redirected.

Trailing-Slash-Konsistenz

Prüft konsistente Nutzung des Trailing Slash.

Kaputte interne Links

Prüft interne Links auf 404/500-Responses.

Custom 404-Seite

Prüft dass die 404-Seite gebrandet ist mit Navigation und Suche.

Canonical-URL-Match

Prüft dass die Canonical-URL zur aktuellen URL (oder bewusst anderer) passt.

Response-Kompression

Prüft HTML/CSS/JS-Responses mit gzip oder brotli Kompression.

Preconnect-Hinweise

Prüft <link rel="preconnect"> zu kritischen Third-Party-Origins.

Resource-Hints

Prüft dns-prefetch, preload und prefetch-Hints für Performance.

Favicon

Prüft Favicon am Site-Root und in <link rel="icon">.

HTML-Doctype

Prüft <!DOCTYPE html> am Dokument-Start.

Server Response Time (TTFB)

Prüft Time to First Byte — wie schnell dein Server antwortet.

HTML-Dokument-Grösse

Prüft ob initiales HTML unter 1 MB ist.

Inline CSS

Prüft Inline-<style>-Blöcke und style-Attribute — beeinflusst CSP und Caching.

Inline JavaScript

Prüft Inline-<script>-Blöcke — CSP und Caching betroffen.

X-Robots-Tag-Header

Prüft X-Robots-Tag-HTTP-Header auf unbeabsichtigte noindex-Direktiven.

HTTPS-Protokoll-Links

Prüft ob interne Links durchgehend https:// nutzen.

Text-zu-HTML-Ratio

Prüft Verhältnis Body-Text zu HTML-Markup — dünne oder code-lastige Seiten geflaggt.

Deprecated HTML-Elemente

Prüft deprecated HTML-Tags wie <center>, <font>, <marquee>.

Iframe-Nutzung

Prüft Iframe-Anzahl und Nutzung — zu viele schaden Performance.

Bild-Lazy-Loading

Prüft dass below-the-fold-Bilder loading="lazy" nutzen, above-the-fold nicht.

Render-blockierende Ressourcen

Prüft CSS/JS im <head> die First-Paint blockieren.

Structured Data

12 Checks

Performance

12 Checks

Bilder

10 Checks