Pemeriksa Header Respons HTTP
Ambil URL publik apa pun dan lihat status HTTP serta header responsnya, dengan pemeriksaan HSTS, CSP, X-Frame-Options, nosniff, dan header keamanan lainnya.
https:// ditambahkan jika skema tidak disebutkan.
Apa itu Pemeriksa Header HTTP?
Alat ini meminta sebuah URL dan menampilkan baris status serta setiap header respons yang dikirim server, seperti curl -I tetapi di browser. Alat ini mengikuti pengalihan, lalu mengevaluasi respons akhir untuk header keamanan umum: HSTS, Content-Security-Policy, X-Content-Type-Options, perlindungan framing, Referrer-Policy, Permissions-Policy, dan X-Powered-By.
Cara menggunakan Pemeriksa Header HTTP
- Masukkan URL publik; https:// ditambahkan jika Anda tidak menyertakan skema.
- Tekan Periksa.
- Baca kode status akhir, jumlah pengalihan yang diikuti, dan daftar header lengkap.
- Tinjau daftar periksa header keamanan di bawah tabel dan salin header mentah jika perlu.
Kapan menggunakan Pemeriksa Header HTTP
Gunakan untuk memverifikasi header caching, kompresi, CORS, atau keamanan setelah deployment, atau untuk melihat apa yang ditambahkan CDN. Permintaan berasal dari pusat data Cloudflare dengan user agent generik, sehingga respons yang bergantung pada lokasi, perlindungan bot, atau status login bisa berbeda dari yang Anda lihat; untuk URL intranet privat, gunakan curl di komputer Anda sendiri.
Cara kerja Pemeriksa Header HTTP
Browser tidak diizinkan membaca header situs lain, sehingga permintaan dilakukan oleh Cloudflare Pages Function milik AlgoKit (/api/fetch-meta). Fungsi ini memvalidasi URL (hanya http/https, tanpa kredensial), me-resolve host lewat DNS-over-HTTPS dan menolak alamat privat, loopback, link-local, CGNAT, serta metadata cloud, lalu mengirim permintaan GET tanpa cookie, mengikuti hingga 10 pengalihan secara manual dengan batas waktu total 8 detik. Yang dikembalikan hanya kode status, header, dan beberapa kolom HTML yang diekstrak; nilai cookie di Set-Cookie disamarkan. Pemeriksaan keamanan dijalankan di browser Anda atas header yang dikembalikan.
Kasus Penggunaan Umum
- Memastikan Strict-Transport-Security dan Content-Security-Policy sudah diatur di produksi.
- Memeriksa header Cache-Control dan ETag pada aset statis.
- Melihat server, CDN, atau framework yang dilaporkan sebuah situs.
- Memverifikasi bahwa pengalihan berakhir di URL yang benar sebelum memeriksa header.
Catatan Keamanan
URL yang Anda masukkan diambil oleh server AlgoKit. Jangan memeriksa URL yang mengandung rahasia atau token sekali pakai di query string.
Pertanyaan Umum
Mengapa browser saya tidak bisa membaca header ini sendiri?
Same-origin policy hanya membuka sedikit header CORS-safelisted dari respons lintas asal ke JavaScript, itu pun jika server mengizinkannya. Permintaan dari sisi server dapat melihat semua header.
Apakah isi halaman disimpan?
Tidak. Fungsi ini membaca paling banyak 512 KB HTML hanya untuk mengekstrak metadata yang dipakai alat terkait, dan tidak ada yang dicatat atau disimpan.
Mengapa URL internal saya ditolak?
Untuk mencegah server-side request forgery, alamat privat dan lokal (10.x, 192.168.x, localhost, *.local, IP metadata) diblokir, termasuk nama yang mengarah ke alamat tersebut.