فاحص ترويسات استجابة HTTP
اجلب أي رابط عام واعرض حالة HTTP وترويسات الاستجابة مع فحوص HSTS وCSP وX-Frame-Options وnosniff وغيرها من ترويسات الأمان.
تتم إضافة https:// إذا لم يُذكر المخطط.
ما هو فاحص ترويسات HTTP؟
تطلب هذه الأداة رابطاً وتعرض سطر الحالة وكل ترويسة استجابة يرسلها الخادم، كما يفعل curl -I لكن في المتصفح. تتبع عمليات إعادة التوجيه ثم تقيّم الاستجابة النهائية بحثاً عن ترويسات الأمان الشائعة: HSTS وContent-Security-Policy وX-Content-Type-Options وحماية الإطارات وReferrer-Policy وPermissions-Policy وX-Powered-By.
كيفية استخدام فاحص ترويسات HTTP
- أدخل رابطاً عاماً؛ تُضاف https:// إذا تركت البروتوكول.
- اضغط Check.
- اقرأ رمز الحالة النهائي وعدد عمليات إعادة التوجيه المتبعة وقائمة الترويسات كاملة.
- راجع قائمة فحص ترويسات الأمان أسفل الجدول وانسخ الترويسات الخام عند الحاجة.
متى تستخدم فاحص ترويسات HTTP
استخدمها للتحقق من التخزين المؤقت والضغط وCORS أو ترويسات الأمان بعد النشر، أو لمعرفة ما تضيفه شبكة CDN. يأتي الطلب من مركز بيانات Cloudflare بوكيل مستخدم عام، فقد تختلف الاستجابات الموجهة جغرافياً أو المحمية من الروبوتات أو التي تتطلب تسجيل دخول عمّا تراه؛ وللروابط الداخلية الخاصة استخدم curl على جهازك.
كيف يعمل فاحص ترويسات HTTP
لا تسمح المتصفحات بقراءة ترويسات موقع آخر، فيُجرى الطلب بواسطة دالة Cloudflare Pages الخاصة بـ AlgoKit (/api/fetch-meta). تتحقق من الرابط (http/https فقط ودون بيانات اعتماد) وتحلّ المضيف عبر DNS-over-HTTPS وترفض العناوين الخاصة وloopback وlink-local وCGNAT وعناوين بيانات السحابة الوصفية، ثم ترسل طلب GET دون ملفات تعريف الارتباط وتتبع حتى 10 عمليات إعادة توجيه يدوياً بمهلة إجمالية 8 ثوانٍ. تُعاد فقط رموز الحالة والترويسات وبعض حقول HTML المستخرجة؛ وتُحجب قيم ملفات الارتباط في Set-Cookie. تُنفَّذ فحوص الأمان في متصفحك على الترويسات المُعادة.
حالات الاستخدام الشائعة
- التأكد من ضبط Strict-Transport-Security وContent-Security-Policy في بيئة الإنتاج.
- فحص ترويستي Cache-Control وETag لملف ثابت.
- معرفة الخادم أو CDN أو الإطار الذي يعلن عنه موقع ما.
- التحقق من أن إعادة التوجيه تنتهي عند الرابط الصحيح قبل فحص الترويسات.
ملاحظة أمنية
يجلب خادم AlgoKit الرابط الذي تدخله. لا تفحص روابط تحتوي على أسرار أو رموز لمرة واحدة في سلسلة الاستعلام.
الأسئلة الشائعة
لماذا لا يستطيع متصفحي قراءة هذه الترويسات بنفسه؟
تكشف سياسة الأصل نفسه لجافاسكربت عدداً قليلاً فقط من ترويسات الاستجابات عبر الأصول المسموح بها في CORS، وبشرط أن يسمح الخادم. أما الطلب من جهة الخادم فيرى كل الترويسات.
هل يُخزَّن محتوى الصفحة؟
لا. تقرأ الدالة 512 كيلوبايت من HTML على الأكثر لاستخراج بيانات وصفية تستخدمها أدوات ذات صلة، ولا يُسجَّل أو يُحفظ شيء.
لماذا رُفض رابطي الداخلي؟
لمنع تزوير الطلبات من جهة الخادم (SSRF) تُحظر العناوين الخاصة والمحلية (10.x وطرفها 192.168.x وlocalhost و*.local وعناوين البيانات الوصفية)، بما فيها الأسماء التي تُحلّ إليها.