Проверка заголовков HTTP-ответа
Запросите любой публичный URL и посмотрите статус HTTP и заголовки ответа с проверкой HSTS, CSP, X-Frame-Options, nosniff и других заголовков безопасности.
Если схема не указана, добавляется https://.
Что такое Проверка HTTP-заголовков?
Инструмент запрашивает URL и показывает строку статуса и все заголовки ответа сервера, как curl -I, но в браузере. Он следует по перенаправлениям, а затем оценивает итоговый ответ на распространённые заголовки безопасности: HSTS, Content-Security-Policy, X-Content-Type-Options, защита от встраивания, Referrer-Policy, Permissions-Policy и X-Powered-By.
Как пользоваться Проверка HTTP-заголовков
- Введите публичный URL; https:// добавляется, если вы опустили схему.
- Нажмите «Проверить».
- Прочитайте итоговый код статуса, число выполненных перенаправлений и полный список заголовков.
- Просмотрите чек-лист заголовков безопасности под таблицей и при необходимости скопируйте сырые заголовки.
Когда использовать Проверка HTTP-заголовков
Используйте для проверки кэширования, сжатия, CORS или заголовков безопасности после развёртывания, а также чтобы увидеть, что добавляет CDN. Запрос приходит из дата-центра Cloudflare с обобщённым user agent, поэтому ответы с геотаргетингом, защитой от ботов или входом в аккаунт могут отличаться от тех, что видите вы; для частных внутренних URL используйте curl на своей машине.
Как работает Проверка HTTP-заголовков
Браузерам нельзя читать заголовки чужого сайта, поэтому запрос выполняет Cloudflare Pages Function AlgoKit (/api/fetch-meta). Она проверяет URL (только http/https, без учётных данных), разрешает хост через DNS-over-HTTPS и отклоняет частные, loopback, link-local, CGNAT адреса и адреса метаданных облака, затем отправляет GET-запрос без cookie, вручную следуя до 10 перенаправлениям с общим тайм-аутом 8 секунд. Возвращаются только коды статуса, заголовки и несколько извлечённых полей HTML; значения cookie в Set-Cookie скрываются. Проверки безопасности выполняются в вашем браузере по возвращённым заголовкам.
Распространенные Случаи Использования
- Убедиться, что в продакшене заданы Strict-Transport-Security и Content-Security-Policy.
- Проверить заголовки Cache-Control и ETag у статического ресурса.
- Узнать, какой сервер, CDN или фреймворк сообщает сайт.
- Проверить, что перенаправление заканчивается на нужном URL, прежде чем смотреть заголовки.
Примечание по Безопасности
Введённый URL загружается сервером AlgoKit. Не проверяйте URL, содержащие секреты или одноразовые токены в строке запроса.
Часто Задаваемые Вопросы
Почему мой браузер не может сам прочитать эти заголовки?
Политика одного источника открывает JavaScript лишь несколько безопасных для CORS заголовков кросс-доменных ответов, и только если сервер это разрешает. Серверный запрос видит все заголовки.
Сохраняется ли содержимое страницы?
Нет. Функция читает не более 512 КБ HTML только чтобы извлечь метаданные для связанных инструментов, и ничего не логируется и не хранится.
Почему мой внутренний URL отклонён?
Чтобы предотвратить подделку запросов на стороне сервера (SSRF), частные и локальные адреса (10.x, 192.168.x, localhost, *.local, адреса метаданных) блокируются, включая имена, которые к ним разрешаются.