Prüfpunkt software.cookie.zu_grossSitzung, Cookies und Zahlungsdaten
Was hilft bei der Meldung „Request Header Or Cookie Too Large“?
Steht auf der Seite „400 Bad Request“ und darunter „Request Header Or Cookie Too Large“, hat Ihr Browser eine größere Kopfzeile geschickt, als der Server annimmt. Oft sind es Cookies, die sich über viele Besuche angesammelt haben. Als Besucher löschen Sie die Cookies dieser einen Website, dann öffnet sie sich wieder. Als Betreiber wissen Sie damit: Auch Ihre Kunden können an dieser Stelle stehen, und die Fehlerseite kommt zurück, bis die Cookies kleiner sind.
Die Meldung stammt von nginx, andere Server setzen eigene Grenzen
Den Wortlaut liefert nginx, ein Webserver, mit dem Status 400. In der Grundeinstellung nimmt er je Kopfzeile bis 8 Kilobyte an. Apache begrenzt sie in der Grundeinstellung auf 8190 Byte. Für genau diesen Fall gibt es außerdem den Status 431. Die HTTP-Norm legt keine feste Obergrenze fest, sie verlangt nur: Wer eine zu große Kopfzeile nicht verarbeiten will, antwortet mit einem Fehler der 400er-Reihe.
Jedes Cookie darf klein sein, die Summe zählt
Der Browser schickt alle Cookies, die zu einer Adresse passen, gemeinsam in einer Kopfzeile. Drei Cookies mit je 3000 Byte bleiben jedes für sich unter der Grenze von 4096 Byte und ergeben zusammen rund 9000 Byte. Über HTTP/1.1 lehnt nginx das ab. Über HTTP/2 und HTTP/3 gilt die Grenze für die komprimierte Kopfzeile, und dazu ist die Gesamtgröße begrenzt. Deshalb kann derselbe Besucher je nach Verbindung betroffen sein oder auch nicht. Ein Cookie mit Domain=example.com geht außerdem an jede Unterdomäne, so addieren sich dort die Cookies von Shop, Blog und Kundenportal.
Als Besucher löschen Sie nur die Cookies dieser Website
Prüfen Sie zuerst mit einem privaten Fenster: Es startet ohne Ihre bisherigen Cookies. Öffnet sich die Seite dort, lag es an den Cookies. Löschen Sie dann in den Einstellungen Ihres Browsers die Cookies dieser einen Website. Sie müssen sich danach dort neu anmelden, und ein Warenkorb kann leer sein. Auf allen übrigen Websites bleiben Sie angemeldet.
Als Betreiber senken Sie die Menge, die höhere Grenze hilft nur kurz
Die Grenze lässt sich anheben: bei nginx mit large_client_header_buffers, bei Apache mit LimitRequestFieldSize. Das öffnet die Website sofort wieder. Die Anleitung von Apache rät aber, den Wert im Normalfall unverändert zu lassen, und jeder weitere Server auf dem Weg, etwa ein Content Delivery Network, hat seine eigene Grenze. Dauerhaft hilft eine Liste aller Cookies mit Größe und Herkunft. Werbe- und Testwerkzeuge bekommen eine kurze Laufzeit und einen engen Path, Daten wandern auf den Server, und alte Cookies entfernt die Website mit einem Ablaufdatum in der Vergangenheit.
Die Grenze schützt den Server vor manipulierten Anfragen
Ein Server, der zu große Kopfzeilen einfach überginge, wäre laut HTTP-Norm anfälliger für Angriffe, bei denen fremde Anfragen in eine Verbindung eingeschleust werden. Apache nennt als Zweck seiner Grenze außerdem den Schutz vor manchen Angriffen, die einen Server lahmlegen. Heben Sie den Wert deshalb so wenig wie nötig an und senken Sie ihn wieder, sobald die Cookies kleiner sind.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was kostet ein Cyberangriff mein Unternehmen?Stillstand, verlorene Kunden, Benachrichtigungen, Sichtbarkeit in der Suche: was ein Angriff ein kleines Unternehmen in Österreich und Deutschland kostet.
- Welche Adresse erfahren fremde Dienste, wenn Ihre Formularseite sie lädt?Mit der Referrer-Policy legt Ihre Website fest, welchen Teil ihrer Adresse andere Server erfahren. Auf Formularseiten gehört die volle Adresse nicht zu Dritten.
- Was leistet HSTS, und welche Einstellung erfüllt die Prüfung?HSTS sorgt dafür, dass der Browser Ihre Website nur verschlüsselt lädt. Die Prüfung erwartet mindestens 180 Tage und alle Unterdomänen.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
