أداة فحص ترويسات HTTP

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

جرّب: http://github.com, wikipedia.org, example.com

سلسلة إعادة التوجيه

طلبان
#الحالةURLالوقت
1 301 Moved Permanently https://bbc.co.uk 26 ms
2 200 OK https://www.bbc.co.uk/ 69 ms

ترويسات الأمان

6/6A
  • Strict-Transport-Security: max-age=31536000; preload
    يُجبر المتصفحات على استخدام HTTPS في الزيارات القادمة (HSTS).
  • Content-Security-Policy: default-src 'none'; script-src 'strict-dynamic' 'nonce-JKK4IP3C1Ft44S7chSxRQehoMhCZBQBv9w8VIP5ual+sONYDpw' 'self' 'report-sample' 'unsafe-inline' cdn.syndicati…
    يقيّد السكربتات وأوراق الأنماط والإطارات التي يمكن تحميلها؛ وهو أقوى دفاع ضد XSS.
  • X-Content-Type-Options: nosniff
    اضبطه على 'nosniff' لمنع المتصفحات من تخمين أنواع المحتوى.
  • X-Frame-Options: DENY
    يمنع clickjacking بالتحكم في من يستطيع تضمين الصفحة في إطار (أو استخدم CSP frame-ancestors).
  • Referrer-Policy: strict-origin-when-cross-origin
    يتحكم في مقدار عنوان URL الذي يُرسَل إلى المواقع الأخرى في ترويسة Referer.
  • Permissions-Policy: browsing-topics=(), join-ad-interest-group=(), run-ad-auction=()
    يعطّل ميزات المتصفح القوية (الكاميرا، تحديد الموقع الجغرافي...) التي لا يستخدمها الموقع.
HTTP/3: مُعلَن h3=":443";ma=86400,h3-29=":443";ma=86400,h3-27=":443";ma=86400 · الخادم: BBC-GTM

ترويسات الاستجابة

https://www.bbc.co.uk/ · 140.248.148.81
Connectionkeep-alive
Content-Length84568
Content-Typetext/html
belfrage-cache-statusMISS
bidbruce
brequestid932d627407a44cda9ddbb37b81a26f4e
bsig1208f4af15d5afde4f19a9ad56d6a2c7
content-encodinggzip
content-security-policydefault-src 'none'; script-src 'strict-dynamic' 'nonce-JKK4IP3C1Ft44S7chSxRQehoMhCZBQBv9w8VIP5ual+sONYDpw' 'self' 'report-sample' 'unsafe-inline' cdn.syndication.twimg.com connect.facebook.net c.files.bbci.co.uk emp.bbci.co.uk mybbc-analytics.files.bbci.co.uk nav.files.bbci.co.uk news.files.bbci.co.uk platform.twitter.com public.flourish.studio static.bbc.co.uk static.bbci.co.uk static.chartbeat.com static2.chartbeat.com www.bbc.co.uk www.instagram.com www.ons.gov.uk gn-web-assets.api.bbc.com www.google-analytics.com bitesize.files.bbci.co.uk www.tiktok.com lf16-tiktok-web.ttwstatic.com static.files.bbci.co.uk; img-src 'self' https: data:; font-src c.files.bbci.co.uk gel.files.bbci.co.uk static.files.bbci.co.uk static.bbci.co.uk news.files.bbci.co.uk ws-downloads.files.bbci.co.uk bitesize.files.bbci.co.uk; style-src branding.files.bbci.co.uk cdn.riddle.com flo.uri.sh news.files.bbci.co.uk platform.twitter.com static.bbc.co.uk static.bbci.co.uk static.files.bbci.co.uk ton.twimg.com www.riddle.com 'unsafe-inline' lf16-tiktok-web.ttwstatic.com; frame-src 'self' bbc001.carto.com bbc003.carto.com bbc-maps.carto.com *.cdn.optimizely.com cdn.riddle.com chartbeat.com emp.bbc.co.uk emp.bbc.com flo.uri.sh graphics.reuters.com interactives.apelections.org www.reuters.com graphics.thomsonreuters.com dynamic.mc-cdn.io vapi.mc-cdn.io vapi.beta.mc-cdn.io elections.mapcreator.io elections.beta.mapcreator.io cdn.mapcreator.io m.facebook.com news.files.bbci.co.uk personaltaxcalculator2.deloittecloud.co.uk platform.twitter.com public.flourish.studio static2.chartbeat.com syndication.twitter.com web.facebook.com www.bbc.co.uk www.facebook.com www.instagram.com www.tiktok.com www.ons.gov.uk www.riddle.com www.youtube.com www.youtube-nocookie.com uk-script.dotmetrics.net ssp-app-uk.votenow.tv ssp-app-uktest.votenow.tv ssp-app-ukbench.votenow.tv session.test.bbc.co.uk session.bbc.co.uk session.stage.bbc.co.uk bitesize.files.bbci.co.uk; object-src 'none'; manifest-src static.files.bbci.co.uk bitesize.files.bbci.co.uk; media-src 'self' blob: https:; connect-src 'self' https:; child-src blob:; base-uri 'none'; form-action 'self' platform.twitter.com syndication.twitter.com uk-script.dotmetrics.net/DeviceInfo.dotmetrics account.bbc.com/auth/identifier/landing; frame-ancestors 'none'; upgrade-insecure-requests; report-to default; report-uri https://webcore.bbc-reporting-api.app/report-endpoint;
feature-policyaccelerometer 'none'; autoplay 'self' https://emp.bbc.com https://emp.bbc.co.uk http://emp.bbc.com http://emp.bbc.co.uk; camera 'none'; document-domain 'self' https://emp.bbc.com https://emp.bbc.co.uk http://emp.bbc.com http://emp.bbc.co.uk; encrypted-media 'none'; fullscreen 'self' https://emp.bbc.com https://emp.bbc.co.uk http://emp.bbc.com http://emp.bbc.co.uk; geolocation 'self'; gyroscope 'none'; magnetometer 'none'; microphone 'none'; midi 'none'; payment 'none'; picture-in-picture 'self' https://emp.bbc.com https://emp.bbc.co.uk http://emp.bbc.com http://emp.bbc.co.uk; screen-wake-lock 'none'; sync-xhr 'self'; usb 'none'; xr-spatial-tracking 'none'
nel{"report_to":"default","max_age":2592000,"include_subdomains":true,"failure_fraction":0.25}
permissions-policyaccelerometer=(), autoplay=(self "https://emp.bbc.com" "https://emp.bbc.co.uk" "http://emp.bbc.com" "http://emp.bbc.co.uk"), camera=(), document-domain=(self "https://emp.bbc.com" "https://emp.bbc.co.uk" "http://emp.bbc.com" "http://emp.bbc.co.uk"), encrypted-media=(), fullscreen=(self "https://emp.bbc.com" "https://emp.bbc.co.uk" "http://emp.bbc.com" "http://emp.bbc.co.uk"), geolocation=(self), gyroscope=(), magnetometer=(), microphone=(), midi=(), payment=(), picture-in-picture=(self "https://emp.bbc.com" "https://emp.bbc.co.uk" "http://emp.bbc.com" "http://emp.bbc.co.uk"), screen-wake-lock=(), sync-xhr=(self), usb=(), xr-spatial-tracking=()
permissions-policybrowsing-topics=(), join-ad-interest-group=(), run-ad-auction=()
referrer-policystrict-origin-when-cross-origin
req-svc-chainFASTLY,GTM,BELFRAGE,WEBCORE
via1.1 BBC-GTM, 1.1 Belfrage, 1.1 varnish
x-content-type-optionsnosniff
x-frame-optionsDENY
x-xss-protection1; mode=block
Origin-Agent-Cluster?0
X-BBC-Edge-Cache-StatusSTALE
report-to{"group":"default","max_age":2592000,"endpoints":[{"url":"https://default.bbc-reporting-api.app/report-endpoint","priority":1}],"include_subdomains":true}
ServerBBC-GTM
Strict-Transport-Securitymax-age=31536000; preload
X-Robots-Tagbingbot: noarchive
Fastly-Restarts1
Accept-Rangesbytes
DateSun, 18 Oct 2026 15:41:14 GMT
X-Fastly-Cache-StatusHIT-CLUSTER
X-Served-Bycache-iad-khef600026-IAD
X-CacheHIT
X-Cache-Hits1
X-TimerS1792338074.974695,VS0,VE42
X-Fastly-Pre-Flight-CacheMISS, MISS
X-Fastly-Pre-Flight-Cache-StatusMISS-CLUSTER
X-cache-age1
X-LB-NoCachetrue
Cache-Controlprivate, stale-if-error=90, stale-while-revalidate=30, max-age=0, must-revalidate
VaryX-BBC-Edge-Scheme,x-id-oidc-signedin,Accept-Encoding
alt-svch3=":443";ma=86400,h3-29=":443";ma=86400,h3-27=":443";ma=86400

ما الذي تعرضه أداة فحص ترويسات HTTP هذه

أدخل أي عنوان URL وسنطلبه من خادمنا تمامًا كما يفعل المتصفح، دون اتباع عمليات إعادة التوجيه تلقائيًا. وهذا يتيح لنا أن نعرض لك كل قفزة في سلسلة إعادة التوجيه مع رمز حالتها وزمن استجابتها، يليها ترويسات الاستجابة الكاملة للصفحة النهائية وتقييم ترويسات الأمان.

ورقة مرجعية لرموز حالة HTTP

الرمزالمعنىملاحظة SEO
200 OKحُمّلت الصفحة بصورة طبيعية.قابلة للفهرسة.
301 Moved Permanentlyإعادة توجيه دائمة.تمرّر إشارات الترتيب؛ تُستخدم عند نقل النطاقات وللانتقال من HTTP→HTTPS.
302 / 307 إعادة توجيه مؤقتةنقل مؤقت.تُبقي محركات البحث عنوان URL الأصلي مفهرسًا.
308 Permanent Redirectمثل 301 لكنها تحتفظ بطريقة الطلب.تُعامَل مثل 301.
304 Not Modifiedالنسخة المخزّنة مؤقتًا لا تزال صالحة.طبيعي في الزيارات المتكررة.
403 Forbiddenتم رفض الوصول، وغالبًا بسبب جدار حماية أو حماية من الروبوتات.قد تحجب الزواحف.
404 Not Foundلا توجد صفحة على عنوان URL هذا.تسقط من الفهرس مع الوقت.
410 Goneأُزيلت عمدًا.تُزال من الفهرس أسرع من 404.
500 / 502 / 503خطأ في الخادم أو في خادم المنبع (upstream).أخطاء 5xx المستمرة تضر بالزحف.

أفضل ممارسات إعادة التوجيه

  • أبقِ السلاسل عند قفزة واحدة: ينبغي أن يذهب http://example.com مباشرةً إلى https://www.example.com/، لا عبر عنوانين أو ثلاثة عناوين URL وسيطة.
  • استخدم 301 أو 308 للنقل الدائم، لتنقل محركات البحث إشارات الترتيب.
  • تجنّب حلقات إعادة التوجيه وقفزات HTTPS→HTTP المختلطة.

ترويسات الأمان الموصى بها

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

أضف HSTS فقط بعد أن يدعم كل نطاق فرعي HTTPS، وابدأ نشر CSP أولًا في وضع Content-Security-Policy-Report-Only. وتحقق من جانب TLS باستخدام أداة فحص شهادة SSL لدينا.

الأسئلة الشائعة

لماذا يظهر لي الرمز 403 بينما يعمل الموقع في متصفحي؟

تحجب بعض المواقع الطلبات الآلية أو الطلبات القادمة من مراكز بيانات سحابية بواسطة حماية من الروبوتات.

ما المنافذ التي أستطيع فحصها؟

المنافذ 80 و443 و8080 و8443 على العناوين العامة. أما العناوين الخاصة والداخلية فمحجوبة لأسباب أمنية.

آخر تحديث

التعليقات

لا توجد تقييمات بعد

سجّل الدخول لتقييم هذه الأداة.

شارك نصيحة أو اطرح سؤالًا أو أخبر الآخرين كيف عملت الأداة معك.

لا توجد تعليقات بعد. كن أول من يشارك تجربته.

تم النسخ إلى الحافظة