Vérificateur d'en-têtes de réponse HTTP
Récupérez le statut HTTP et les en-têtes de réponse de toute URL publique, avec contrôle de HSTS, CSP, X-Frame-Options, nosniff et autres en-têtes de sécurité.
https:// est ajouté si aucun schéma n’est indiqué.
Qu'est-ce que Vérificateur d'en-têtes HTTP ?
Cet outil requête une URL et affiche la ligne de statut et tous les en-têtes de réponse renvoyés par le serveur, comme curl -I mais dans le navigateur. Il suit les redirections puis évalue la réponse finale pour les principaux en-têtes de sécurité : HSTS, Content-Security-Policy, X-Content-Type-Options, protection contre l'inclusion en frame, Referrer-Policy, Permissions-Policy et X-Powered-By.
Comment utiliser Vérificateur d'en-têtes HTTP
- Saisissez une URL publique ; https:// est ajouté si vous omettez le schéma.
- Cliquez sur Vérifier.
- Lisez le code de statut final, le nombre de redirections suivies et la liste complète des en-têtes.
- Parcourez la liste de contrôle des en-têtes de sécurité sous le tableau et copiez les en-têtes bruts si besoin.
Quand utiliser Vérificateur d'en-têtes HTTP
Utilisez-le pour vérifier le cache, la compression, CORS ou les en-têtes de sécurité après un déploiement, ou pour voir ce qu'ajoute un CDN. La requête provient d'un centre de données Cloudflare avec un user agent générique : les réponses géociblées, protégées contre les bots ou nécessitant une connexion peuvent différer de ce que vous voyez. Pour des URL d'intranet privé, utilisez curl sur votre machine.
Comment fonctionne Vérificateur d'en-têtes HTTP
Les navigateurs n'ont pas le droit de lire les en-têtes d'un autre site : la requête est donc faite par la Cloudflare Pages Function d'AlgoKit (/api/fetch-meta). Elle valide l'URL (http/https uniquement, sans identifiants), résout l'hôte via DNS-over-HTTPS et refuse les adresses privées, de bouclage, lien-local, CGNAT et de métadonnées cloud, puis envoie une requête GET sans cookies, en suivant manuellement jusqu'à 10 redirections avec un délai total de 8 secondes. Seuls les codes de statut, les en-têtes et quelques champs HTML extraits sont renvoyés ; les valeurs des cookies de Set-Cookie sont masquées. Les contrôles de sécurité s'exécutent dans votre navigateur sur les en-têtes reçus.
Cas d'utilisation courants
- Confirmer que Strict-Transport-Security et Content-Security-Policy sont définis en production.
- Contrôler les en-têtes Cache-Control et ETag d'une ressource statique.
- Voir quel serveur, CDN ou framework un site annonce.
- Vérifier qu'une redirection aboutit à la bonne URL avant d'examiner les en-têtes.
Note de Sécurité
L'URL saisie est récupérée par le serveur d'AlgoKit. Ne vérifiez pas d'URL contenant des secrets ou des jetons à usage unique dans la chaîne de requête.
Questions Fréquentes
Pourquoi mon navigateur ne peut-il pas lire ces en-têtes lui-même ?
La politique de même origine n'expose à JavaScript que quelques en-têtes autorisés par CORS des réponses inter-origines, et seulement si le serveur le permet. Une requête côté serveur voit tous les en-têtes.
Le contenu de la page est-il stocké ?
Non. La fonction lit au plus 512 Ko de HTML uniquement pour extraire des métadonnées utilisées par des outils liés, et rien n'est journalisé ni conservé.
Pourquoi mon URL interne est-elle refusée ?
Pour éviter les falsifications de requêtes côté serveur (SSRF), les adresses privées et locales (10.x, 192.168.x, localhost, *.local, IP de métadonnées) sont bloquées, y compris les noms qui y résolvent.