Comprobador de cabeceras de respuesta HTTP
Solicita cualquier URL pública y ve su estado HTTP y sus cabeceras de respuesta, con comprobaciones de HSTS, CSP, X-Frame-Options, nosniff y otras de seguridad.
Si no indicas esquema, se añade https://.
¿Qué es Comprobador de cabeceras HTTP?
Esta herramienta solicita una URL y muestra la línea de estado y todas las cabeceras de respuesta que devuelve el servidor, como curl -I pero en el navegador. Sigue las redirecciones y después evalúa en la respuesta final las cabeceras de seguridad habituales: HSTS, Content-Security-Policy, X-Content-Type-Options, protección contra framing, Referrer-Policy, Permissions-Policy y X-Powered-By.
Cómo usar Comprobador de cabeceras HTTP
- Introduce una URL pública; si omites el esquema, se añade https://.
- Pulsa Comprobar.
- Consulta el código de estado final, el número de redirecciones seguidas y la lista completa de cabeceras.
- Revisa la lista de comprobación de cabeceras de seguridad bajo la tabla y copia las cabeceras sin procesar si lo necesitas.
Cuándo usar Comprobador de cabeceras HTTP
Úsalo para verificar las cabeceras de caché, compresión, CORS o seguridad tras un despliegue, o para ver qué añade una CDN. La petición sale de un centro de datos de Cloudflare con un user agent genérico, así que las respuestas geolocalizadas, protegidas contra bots o con sesión iniciada pueden diferir de lo que ves tú; para URL de una intranet privada usa curl en tu propio equipo.
Cómo funciona Comprobador de cabeceras HTTP
Los navegadores no pueden leer las cabeceras de otro sitio, así que la petición la hace la Cloudflare Pages Function de AlgoKit (/api/fetch-meta). Valida la URL (solo http/https, sin credenciales), resuelve el host mediante DNS-over-HTTPS y rechaza direcciones privadas, loopback, link-local, CGNAT y de metadatos cloud; después envía una petición GET sin cookies y sigue manualmente hasta 10 redirecciones con un tiempo límite total de 8 segundos. Solo se devuelven los códigos de estado, las cabeceras y algunos campos HTML extraídos; los valores de las cookies en Set-Cookie se ocultan. Las comprobaciones de seguridad se ejecutan en tu navegador sobre las cabeceras devueltas.
Casos de Uso Comunes
- Confirmar que Strict-Transport-Security y Content-Security-Policy están configuradas en producción.
- Comprobar las cabeceras Cache-Control y ETag de un recurso estático.
- Ver qué servidor, CDN o framework declara un sitio.
- Verificar que una redirección termina en la URL correcta antes de mirar las cabeceras.
Nota de Seguridad
La URL que introduces la solicita el servidor de AlgoKit. No compruebes URL que contengan secretos o tokens de un solo uso en la cadena de consulta.
Preguntas Frecuentes
¿Por qué mi navegador no puede leer estas cabeceras por sí mismo?
La política del mismo origen solo expone a JavaScript unas pocas cabeceras de la lista segura de CORS en las respuestas de otros orígenes, y únicamente si el servidor lo permite. Una petición desde el servidor ve todas las cabeceras.
¿Se guarda el contenido de la página?
No. La función lee como máximo 512 KB de HTML solo para extraer metadatos que usan herramientas relacionadas, y no se registra ni se conserva nada.
¿Por qué se rechaza mi URL interna?
Para evitar la falsificación de peticiones del lado del servidor (SSRF), se bloquean las direcciones privadas y locales (10.x, 192.168.x, localhost, *.local, IP de metadatos), incluidos los nombres que se resuelven a ellas.