Verificador de cabeçalhos de resposta HTTP
Busque qualquer URL pública e veja o status HTTP e os cabeçalhos de resposta, com verificação de HSTS, CSP, X-Frame-Options, nosniff e outros cabeçalhos de segurança.
https:// é adicionado quando nenhum esquema é informado.
O que é Verificador de cabeçalhos HTTP?
Esta ferramenta faz uma requisição a uma URL e mostra a linha de status e todos os cabeçalhos de resposta que o servidor devolve, como o curl -I, mas no navegador. Ela segue os redirecionamentos e então avalia a resposta final em busca dos cabeçalhos de segurança comuns: HSTS, Content-Security-Policy, X-Content-Type-Options, proteção contra frames, Referrer-Policy, Permissions-Policy e X-Powered-By.
Como usar Verificador de cabeçalhos HTTP
- Digite uma URL pública; https:// é acrescentado se você omitir o esquema.
- Clique em Verificar.
- Leia o código de status final, o número de redirecionamentos seguidos e a lista completa de cabeçalhos.
- Revise a lista de verificação de cabeçalhos de segurança abaixo da tabela e copie os cabeçalhos brutos, se precisar.
Quando usar Verificador de cabeçalhos HTTP
Use para verificar cabeçalhos de cache, compressão, CORS ou segurança depois de um deploy, ou para ver o que uma CDN acrescenta. A requisição sai de um data center da Cloudflare com um user agent genérico, então respostas segmentadas por região, protegidas contra bots ou com login podem ser diferentes das que você vê; para URLs de intranet privada, use o curl na sua própria máquina.
Como funciona Verificador de cabeçalhos HTTP
Os navegadores não podem ler os cabeçalhos de outro site, então a requisição é feita pela Cloudflare Pages Function do AlgoKit (/api/fetch-meta). Ela valida a URL (só http/https, sem credenciais), resolve o host via DNS-over-HTTPS e recusa endereços privados, loopback, link-local, CGNAT e de metadados de nuvem; depois envia uma requisição GET sem cookies, seguindo até 10 redirecionamentos manualmente, com tempo limite total de 8 segundos. Só são devolvidos os códigos de status, os cabeçalhos e alguns campos extraídos do HTML; os valores de cookies no Set-Cookie são ocultados. As verificações de segurança rodam no seu navegador sobre os cabeçalhos devolvidos.
Casos de Uso Comuns
- Confirmar que Strict-Transport-Security e Content-Security-Policy estão definidos em produção.
- Conferir os cabeçalhos Cache-Control e ETag de um arquivo estático.
- Ver qual servidor, CDN ou framework um site informa.
- Verificar se um redirecionamento termina na URL certa antes de olhar os cabeçalhos.
Nota de Segurança
A URL que você digita é buscada pelo servidor do AlgoKit. Não verifique URLs que contenham segredos ou tokens de uso único na query string.
Perguntas Frequentes
Por que o meu navegador não consegue ler esses cabeçalhos sozinho?
A política de mesma origem só expõe ao JavaScript alguns cabeçalhos de respostas de outras origens, os da lista segura do CORS, e só se o servidor permitir. Uma requisição feita no servidor vê todos os cabeçalhos.
O conteúdo da página é armazenado?
Não. A função lê no máximo 512 KB de HTML, só para extrair metadados usados por ferramentas relacionadas, e nada é registrado ou guardado.
Por que a minha URL interna é recusada?
Para evitar falsificação de requisição do lado do servidor (SSRF), endereços privados e locais (10.x, 192.168.x, localhost, *.local, IPs de metadados) são bloqueados, inclusive nomes que resolvem para eles.