Kiểm tra header phản hồi HTTP
Gửi yêu cầu tới bất kỳ URL công khai nào và xem mã trạng thái HTTP cùng các header phản hồi, kèm kiểm tra HSTS, CSP, X-Frame-Options, nosniff và các header bảo mật khác.
Tự động thêm https:// nếu không ghi scheme.
Kiểm tra HTTP header là gì?
Công cụ này gửi yêu cầu tới một URL và hiển thị dòng trạng thái cùng mọi header phản hồi mà máy chủ gửi về, giống curl -I nhưng ngay trong trình duyệt. Nó đi theo các chuyển hướng rồi đánh giá phản hồi cuối cùng theo các header bảo mật phổ biến: HSTS, Content-Security-Policy, X-Content-Type-Options, chống nhúng khung, Referrer-Policy, Permissions-Policy và X-Powered-By.
Cách sử dụng Kiểm tra HTTP header
- Nhập một URL công khai; https:// sẽ được tự động thêm nếu bạn bỏ qua scheme.
- Nhấn Kiểm tra.
- Đọc mã trạng thái cuối cùng, số lần chuyển hướng đã đi qua và danh sách header đầy đủ.
- Xem danh mục kiểm tra header bảo mật bên dưới bảng và sao chép header gốc nếu cần.
Khi nào nên dùng Kiểm tra HTTP header
Dùng công cụ để xác minh header về cache, nén, CORS hoặc bảo mật sau khi triển khai, hoặc để xem CDN thêm vào những gì. Yêu cầu xuất phát từ một trung tâm dữ liệu của Cloudflare với user agent chung chung, nên phản hồi nhắm theo vị trí, có chống bot hoặc yêu cầu đăng nhập có thể khác với những gì bạn thấy; với URL nội bộ trong mạng riêng, hãy dùng curl trên máy của bạn.
Kiểm tra HTTP header hoạt động như thế nào
Trình duyệt không được phép đọc header của trang web khác, nên yêu cầu được thực hiện bởi Cloudflare Pages Function của AlgoKit (/api/fetch-meta). Nó kiểm tra URL (chỉ http/https, không chứa thông tin đăng nhập), phân giải tên máy chủ qua DNS-over-HTTPS và từ chối các địa chỉ riêng, loopback, link-local, CGNAT và địa chỉ metadata của cloud, sau đó gửi yêu cầu GET không kèm cookie, tự đi theo tối đa 10 lần chuyển hướng với tổng thời gian chờ 8 giây. Chỉ mã trạng thái, header và một vài trường HTML được trích xuất được trả về; giá trị cookie trong Set-Cookie bị che đi. Các bước kiểm tra bảo mật chạy trong trình duyệt của bạn trên những header trả về.
Các Trường Hợp Sử Dụng Phổ Biến
- Xác nhận Strict-Transport-Security và Content-Security-Policy đã được đặt trên môi trường production.
- Kiểm tra header Cache-Control và ETag của một tài nguyên tĩnh.
- Xem trang web khai báo máy chủ, CDN hay framework nào.
- Xác minh một chuyển hướng kết thúc đúng URL trước khi xem header.
Lưu Ý Bảo Mật
URL bạn nhập sẽ được máy chủ của AlgoKit truy cập. Đừng kiểm tra những URL có chứa bí mật hoặc token dùng một lần trong chuỗi truy vấn.
Câu Hỏi Thường Gặp
Vì sao trình duyệt của tôi không tự đọc được các header này?
Chính sách cùng nguồn gốc (same-origin) chỉ cho JavaScript thấy một vài header nằm trong danh sách an toàn của CORS ở phản hồi khác nguồn, và chỉ khi máy chủ cho phép. Yêu cầu phía máy chủ thì thấy được toàn bộ header.
Nội dung trang có bị lưu lại không?
Không. Function chỉ đọc tối đa 512 KB HTML để trích xuất metadata dùng cho các công cụ liên quan, và không có gì được ghi log hay lưu giữ.
Vì sao URL nội bộ của tôi bị từ chối?
Để chống tấn công giả mạo yêu cầu phía máy chủ (SSRF), các địa chỉ riêng và cục bộ (10.x, 192.168.x, localhost, *.local, IP metadata) đều bị chặn, kể cả những tên miền phân giải ra các địa chỉ đó.