Vérificateur d'en-têtes HTTP

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

Essayez : http://github.com, wikipedia.org, example.com

Chaîne de redirection

2 requêtes
#StatutURLHeure
1 301 Moved Permanently http://google.com 12 ms
2 200 OK http://www.google.com/ 36 ms

En-têtes de sécurité

1/5F
La page finale est servie en HTTP simple. Redirigez d'abord tout le trafic vers HTTPS.
  • Strict-Transport-Security (non applicable en HTTP)
    Force les navigateurs à utiliser HTTPS lors des visites futures (HSTS).
  • Content-Security-Policy
    Limite les scripts, styles et frames pouvant se charger ; la défense la plus efficace contre le XSS.
  • X-Content-Type-Options
    À définir sur « nosniff » pour empêcher les navigateurs de deviner les types de contenu.
  • X-Frame-Options: SAMEORIGIN
    Empêche le clickjacking en contrôlant qui peut intégrer la page dans une frame (ou via CSP frame-ancestors).
  • Referrer-Policy
    Contrôle la part de l'URL envoyée à d'autres sites dans l'en-tête Referer.
  • Permissions-Policy
    Désactive les fonctions puissantes du navigateur (caméra, géolocalisation...) que le site n'utilise pas.
HTTP/3: Non annoncé (pas de h3 dans Alt-Svc) · Serveur : gws

En-têtes de réponse

http://www.google.com/ · 142.251.156.119
Content-Typetext/html; charset=ISO-8859-1
DateSat, 17 Oct 2026 09:01:09 GMT
Expires-1
Cache-Controlprivate, max-age=0
Content-Security-Policy-Report-Onlyobject-src 'none';base-uri 'self';script-src 'nonce-sRsOeSUCABp5gY8DXaGIWw' 'strict-dynamic' 'report-sample' 'unsafe-eval' 'unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp
P3PCP="This is not a P3P policy! See g.co/p3phelp for more info."
Content-Encodinggzip
Servergws
Content-Length29246
X-XSS-Protection0
X-Frame-OptionsSAMEORIGIN
Set-Cookie__Secure-STRP=ABNhA6i3cp0J2kOo_Qr4rewlcA0BblaX0AWUY7XriG2NRX0JrF9kMVw6XOT63fNe2dO73NkuL37-ANkCJB0twaEqdwIbvDd-DJn_; expires=Sat, 17-Oct-2026 09:06:09 GMT; path=/; domain=.google.com; Secure; SameSite=strict
Set-CookieAEC=Aaa9EJolGKbt2sgknW72NT_frOgXvipdDVTqF2s5Pi5hUx-jICh0YNY3GxA; expires=Thu, 15-Apr-2027 09:01:09 GMT; path=/; domain=.google.com; Secure; HttpOnly; SameSite=lax
Set-CookieNID=CvYBCAESqAEBOxGDSJPNm6XN8fxmed4cieLc8o_cdzXwS9GqIXx6-u5_-8kRFm2Y4_uHortYZN6Lie0Qk0HqXXmCigjoGNGoOtsA6HAGqNPzRj_QyM8FABCiHAFvFN5JgIVKbZk_DdIYsBO2dibFzfHO3AzWyz0aoBfBNCIz-2-p2RLogn9tEk4cD5XdT3W5r4LlnQQ9iPIGYw1F05eIzeedoTPTAr27oRGz3Un4B3AoATJFAdKsB8_6vsaTsuWwETGQ27npvMqqXkZqlE5N0Cbnhjv3sAGvffFp7gQqmyAIsC-f1toZUTd7GLIYwvQmZv9yfpdn_EkD; expires=Sun, 18-Apr-2027 09:01:09 GMT; path=/; domain=.google.com; HttpOnly

Ce qu'affiche ce vérificateur d'en-têtes HTTP

Saisissez n'importe quelle URL et nous la demandons depuis notre serveur exactement comme le ferait un navigateur, sans suivre automatiquement les redirections. Cela nous permet de vous montrer chaque étape de la chaîne de redirection avec son code d'état et son temps de réponse, suivie des en-têtes de réponse complets de la page finale et d'une note des en-têtes de sécurité.

Aide-mémoire des codes d'état HTTP

CodeSignificationRemarque SEO
200 OKLa page s'est chargée normalement.Indexable.
301 Moved PermanentlyRedirection permanente.Transmet les signaux de classement ; à utiliser pour les changements de domaine et HTTP→HTTPS.
302 / 307 Redirection temporaireDéplacement temporaire.Les moteurs de recherche gardent l'URL d'origine indexée.
308 Permanent RedirectComme 301 mais conserve la méthode de la requête.Traitée comme 301.
304 Not ModifiedLa copie en cache est toujours valide.Normal pour les visites répétées.
403 ForbiddenAccès refusé, souvent à cause d'un pare-feu ou d'une protection anti-robots.Peut bloquer les robots d'exploration.
404 Not FoundAucune page à cette URL.Sort de l'index avec le temps.
410 GoneSupprimée volontairement.Retirée de l'index plus vite qu'une 404.
500 / 502 / 503Erreur du serveur ou en amont.Des erreurs 5xx persistantes nuisent à l'exploration.

Bonnes pratiques pour les redirections

  • Limitez les chaînes à une seule étape : http://example.com doit aller directement vers https://www.example.com/, et non passer par deux ou trois URL intermédiaires.
  • Utilisez 301 ou 308 pour les déplacements permanents, afin que les moteurs de recherche transfèrent les signaux de classement.
  • Évitez les boucles de redirection et les étapes mixtes HTTPS→HTTP.

En-têtes de sécurité recommandés

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

N'ajoutez HSTS que lorsque chaque sous-domaine prend en charge HTTPS, et déployez d'abord CSP en mode Content-Security-Policy-Report-Only. Vérifiez le côté TLS avec notre Vérificateur de certificat SSL.

Questions fréquentes

Pourquoi vois-je une erreur 403 alors que le site fonctionne dans mon navigateur ?

Certains sites bloquent les requêtes automatisées ou les requêtes provenant de centres de données cloud grâce à une protection anti-robots.

Quels ports puis-je vérifier ?

Les ports 80, 443, 8080 et 8443 sur des adresses publiques. Les adresses privées et internes sont bloquées pour des raisons de sécurité.

Mis à jour

Copié dans le presse-papiers