🔍

Проверка HTTP-заголовков

Анализ заголовков ответа сервера с оценкой безопасности

HEAD — только заголовки (быстро). GET — полный запрос (больше заголовков).

Загрузка инструмента...

Проверка HTTP-заголовков ответа сервера онлайн — анализ безопасности, кеширования и производительности

Бесплатный онлайн-инструмент для проверки заголовков HTTP-ответа (HTTP response headers) любого сайта. Позволяет увидеть полный список серверных заголовков, получить подробный аудит безопасности с оценкой по шкале от F до A+, проанализировать настройки кеширования и оценить производительность соединения. Проверка HTTP-заголовков — один из ключевых шагов в анализе безопасности веб-приложений, диагностике неполадок сервера и SEO-аудите сайта.

HTTP-заголовки ответа — это метаданные, которые веб-сервер отправляет браузеру вместе с запрошенной страницей. Они сообщают браузеру, как обрабатывать контент: кешировать ли его, какой тип содержимого передан, какие политики безопасности применять, разрешена ли загрузка с других доменов (CORS) и многое другое. Неправильная настройка заголовков может привести к уязвимостям безопасности, проблемам с кешированием, медленной загрузке страниц и ошибкам индексации поисковыми системами.

Наш инструмент отправляет настоящий HTTP-запрос к указанному URL (методом HEAD или GET) и отображает все полученные заголовки ответа с разбивкой по категориям: безопасность, кеширование, производительность, серверная информация, CORS и контент. Для каждого заголовка даётся пояснение его назначения, а для заголовков безопасности — детальный анализ с рекомендациями по улучшению. Проверка выполняется через серверный API-маршрут, что позволяет получить точные заголовки без ограничений CORS, которые существуют при чисто клиентских проверках.

Проверка заголовков ответа сервера полезна широкому кругу специалистов: веб-разработчикам и DevOps-инженерам для диагностики и настройки серверов, специалистам по информационной безопасности для аудита защиты веб-приложений, SEO-специалистам для проверки корректности редиректов и настроек кеширования, системным администраторам для мониторинга конфигурации, тестировщикам для проверки API и конечных точек, владельцам сайтов для контроля безопасности и производительности. Инструмент одинаково полезен для проверки как крупных корпоративных порталов, так и небольших лендингов, блогов и интернет-магазинов.

По данным исследований, более 70% веб-сайтов не используют базовые заголовки безопасности, такие как Content-Security-Policy и Strict-Transport-Security. Отсутствие этих заголовков делает сайты уязвимыми к атакам типа XSS (межсайтовый скриптинг), кликджекинг, MITM (человек посередине) и другим. Правильная настройка HTTP-заголовков — это первый и один из самых простых шагов в защите веб-приложения, который при этом значительно повышает уровень безопасности.

Настройки кеширования напрямую влияют на скорость загрузки страниц и расход трафика. Некорректный Cache-Control может приводить к тому, что пользователи видят устаревший контент, или наоборот — статические ресурсы загружаются каждый раз заново, замедляя сайт. Проверка и оптимизация заголовков кеширования позволяет сократить время загрузки на 40-60% для повторных визитов.

С точки зрения SEO, поисковые роботы анализируют HTTP-заголовки для понимания структуры сайта. Код ответа (200, 301, 404), заголовки кеширования, X-Robots-Tag, канонические ссылки через Link — всё это влияет на индексацию и ранжирование страниц в поисковых системах Яндекс и Google.

10 заголовков безопасности — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-XSS-Protection, COOP, CORP, COEP с детальной оценкой каждого
Оценка безопасности A+ — F — суммарный рейтинг на основе взвешенного анализа всех заголовков защиты, аналогичный сервисам SecurityHeaders.com и Mozilla Observatory
Анализ кеширования — разбор Cache-Control, ETag, Last-Modified, Expires, Vary, проверка стратегии кеширования и рекомендации по оптимизации
Производительность — определение типа сжатия (Brotli, gzip), время ответа, поддержка HTTP/3, Keep-Alive, предзагрузка ресурсов
Утечки информации — обнаружение версий сервера (Server, X-Powered-By), которые помогают злоумышленникам в таргетированных атаках
Безопасность cookie — проверка флагов Secure, HttpOnly и SameSite у cookie, установленных сервером
CORS-заголовки — анализ Access-Control-Allow-Origin и связанных заголовков для кросс-доменных запросов
Цепочки редиректов — отображение всех промежуточных перенаправлений с кодами статусов
HTTP-статус — код ответа сервера с расшифровкой (2xx, 3xx, 4xx, 5xx)

Справочник заголовков безопасности HTTP

Заголовок	Защита от	Важность
Strict-Transport-Security	MITM, SSL-stripping	Критическая
Content-Security-Policy	XSS, инъекции кода	Критическая
X-Frame-Options	Кликджекинг	Высокая
X-Content-Type-Options	MIME-sniffing	Высокая
Referrer-Policy	Утечка URL-адресов	Высокая
Permissions-Policy	Злоупотребление API браузера	Средняя
Cross-Origin-Opener-Policy	Spectre-атаки	Средняя
Cross-Origin-Resource-Policy	Кража ресурсов	Средняя

Как проверить HTTP-заголовки ответа сервера — пошаговая инструкция

Введите URL-адрес сайта

Вставьте адрес страницы, заголовки которой хотите проверить. Можно вводить с http(s) или без — протокол добавится автоматически. Примеры: google.com, https://ya.ru/news, api.example.com/v1/users.

Выберите метод запроса

HEAD — запрашивает только заголовки (быстрее, экономит трафик). GET — полный запрос страницы (может вернуть больше заголовков, включая Set-Cookie и Content-Encoding). Для большинства проверок достаточно HEAD.

Изучите результаты анализа

Получите код HTTP-статуса, полный список заголовков с пояснениями, оценку безопасности от F до A+, анализ кеширования и рекомендации по производительности. Нажимайте на заголовки для подробной информации. Используйте фильтры по категориям для удобной навигации.

Примеры и сценарии использования проверки заголовков

🔒 Аудит безопасности перед запуском сайта

Перед выводом сайта в продакшен проверьте наличие всех критических заголовков безопасности: HSTS для принудительного HTTPS, CSP для защиты от XSS-инъекций, X-Frame-Options против кликджекинга. Оценка A+ означает, что основные заголовки безопасности настроены корректно. Эта проверка часто входит в чек-лист PCI DSS и ISO 27001.

⚡ Оптимизация скорости загрузки

Проверьте настройки кеширования статических ресурсов (CSS, JS, изображения). Убедитесь, что для них установлен длительный max-age (минимум 1 год) и используется Brotli-сжатие. Правильно настроенные заголовки Cache-Control могут сократить время повторной загрузки страницы на 60-80% и снизить нагрузку на сервер.

🔍 SEO-диагностика редиректов

Проверьте цепочки редиректов при миграции сайта или смене домена. Убедитесь, что используются 301-редиректы (постоянные) вместо 302 (временные) для сохранения веса ссылок. Инструмент покажет всю цепочку перенаправлений и итоговый код ответа. Длинные цепочки редиректов замедляют индексацию и ухудшают пользовательский опыт.

🌐 Отладка CORS-ошибок

При разработке API и фронтенд-приложений часто возникают ошибки CORS (Cross-Origin Resource Sharing). Проверьте заголовки Access-Control-Allow-Origin, Access-Control-Allow-Methods и Access-Control-Allow-Headers для диагностики проблем с кросс-доменными запросами. Инструмент покажет все CORS-заголовки в отдельной категории.

🏗️ Мониторинг после обновления сервера

После обновления Nginx, Apache, Node.js или другого серверного ПО проверьте, что все заголовки остались на месте. Обновления конфигурации могут случайно удалить важные заголовки безопасности или изменить настройки кеширования. Регулярная проверка помогает предотвратить регрессии.

Частые вопросы о проверке HTTP-заголовков сервера

Что такое HTTP-заголовки ответа и зачем их проверять?

HTTP-заголовки ответа (response headers) — это служебная информация, которую веб-сервер передаёт браузеру при каждом запросе. Они определяют политику безопасности, правила кеширования, тип контента, настройки CORS и многое другое. Проверка заголовков позволяет выявить уязвимости безопасности, проблемы с производительностью, ошибки в настройках кеширования и SEO-недочёты. Это стандартная процедура при аудите безопасности, отладке и оптимизации сайтов.

В чём разница между методами HEAD и GET для проверки?

HEAD запрашивает только заголовки ответа без тела (содержимого страницы). Это быстрее и экономит трафик. GET запрашивает полную страницу, что может вернуть дополнительные заголовки: Set-Cookie, Content-Encoding, Transfer-Encoding. Для базовой проверки безопасности и кеширования достаточно HEAD. Используйте GET, если нужно проверить сжатие контента или cookie.

Как формируется оценка безопасности от F до A+?

Оценка рассчитывается на основе анализа 10 ключевых заголовков безопасности. Каждый заголовок имеет свой вес: HSTS и CSP — по 15 баллов, X-Frame-Options и X-Content-Type-Options — по 10, Referrer-Policy и Permissions-Policy — по 10, остальные — по 5. Оценивается не только наличие заголовка, но и корректность его настройки. Дополнительно снимаются баллы за раскрытие версии сервера и небезопасные cookie. Итоговый процент переводится в буквенную оценку: 90%+ = A+, 80-89% = A, 70-79% = B и так далее.

Как исправить отсутствующие заголовки безопасности?

Заголовки настраиваются в конфигурации веб-сервера. Для Nginx — в блоке server или location (директива add_header). Для Apache — через .htaccess (директива Header set). Для Node.js/Express — через middleware (helmet). Для Cloudflare — через Transform Rules. Нажмите на конкретный заголовок в результатах проверки, чтобы увидеть рекомендуемое значение для добавления.

Безопасно ли проверять заголовки чужого сайта?

Да, абсолютно безопасно. Инструмент отправляет стандартный HTTP-запрос (HEAD или GET), который ничем не отличается от обычного посещения сайта в браузере. Заголовки ответа — это публичная информация, доступная при любом обращении к серверу. Никакие данные не сохраняются и не передаются третьим лицам.

Какие настройки кеширования считаются оптимальными?

Для статических ресурсов (CSS, JS, изображения) с хешем в имени файла: Cache-Control: public, max-age=31536000, immutable. Для HTML-страниц: Cache-Control: no-cache или max-age=0, must-revalidate (с ETag). Для API-ответов: зависит от частоты обновлений, часто Cache-Control: private, no-store. Обязательно включите ETag для условных запросов — это позволяет серверу отвечать 304 Not Modified вместо повторной отправки контента.

Какие заголовки важны для SEO-оптимизации?

Для SEO критически важны: HTTP-статус (200 для страниц, 301 для редиректов, 404 для удалённых), X-Robots-Tag (управление индексацией без meta-тегов), Link с rel=canonical (канонический URL), Cache-Control (Googlebot учитывает TTL), Content-Type с charset (корректная кодировка), Content-Language (язык контента), а также HSTS (Google учитывает HTTPS как фактор ранжирования). Проверяйте эти заголовки при SEO-аудите.

Полезная информация

Запросы выполняются через серверный API-маршрут, что обеспечивает точный анализ заголовков без ограничений CORS. Ваши данные не сохраняются — каждая проверка выполняется в реальном времени. Для получения наиболее полных результатов рекомендуется проверять сайт обоими методами (HEAD и GET).