Проверка HTTP-заголовков

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

Например: http://github.com, wikipedia.org, example.com

Цепочка перенаправлений

2 запроса
#СтатусURLВремя
1 301 Moved Permanently http://google.com 11 ms
2 200 OK http://www.google.com/ 36 ms

Заголовки безопасности

1/5F
Итоговая страница отдается по обычному HTTP. Сначала перенаправьте весь трафик на HTTPS.
  • Strict-Transport-Security (не применяется для HTTP)
    Заставляет браузеры использовать HTTPS при последующих посещениях (HSTS).
  • Content-Security-Policy
    Ограничивает, какие скрипты, стили и фреймы могут загружаться; самая надёжная защита от XSS.
  • X-Content-Type-Options
    Установите 'nosniff', чтобы браузеры не угадывали тип содержимого.
  • X-Frame-Options: SAMEORIGIN
    Предотвращает clickjacking, определяя, кто может встраивать страницу во фрейм (или используйте CSP frame-ancestors).
  • Referrer-Policy
    Определяет, какая часть URL отправляется другим сайтам в заголовке Referer.
  • Permissions-Policy
    Отключает мощные функции браузера (камера, геолокация и др.), которые сайт не использует.
HTTP/3: Не объявлен (нет h3 в Alt-Svc) · Сервер: gws

Заголовки ответа

http://www.google.com/ · 142.251.151.119
Content-Typetext/html; charset=ISO-8859-1
DateSat, 17 Oct 2026 06:00:11 GMT
Expires-1
Cache-Controlprivate, max-age=0
Content-Security-Policy-Report-Onlyobject-src 'none';base-uri 'self';script-src 'nonce-awloG9xf1SFfJAcGQ9H4gg' 'strict-dynamic' 'report-sample' 'unsafe-eval' 'unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp
P3PCP="This is not a P3P policy! See g.co/p3phelp for more info."
Content-Encodinggzip
Servergws
Content-Length29170
X-XSS-Protection0
X-Frame-OptionsSAMEORIGIN
Set-Cookie__Secure-STRP=ABNhA6gS2Da1vmmzSqzGwkkZZ5C2cBp0dK-4BtLKvV4EPlCkBORUOEi26-CDXrZR77gHCU_A9E_1Eym8Tbict5ATieNGQLNeZcSy; expires=Sat, 17-Oct-2026 06:05:11 GMT; path=/; domain=.google.com; Secure; SameSite=strict
Set-CookieAEC=Aaa9EJqkBlW1WvOKElNvzbRdSqsfN9DvUrmz1bdeF4zNTGrKBFhryNisYQ; expires=Thu, 15-Apr-2027 06:00:11 GMT; path=/; domain=.google.com; Secure; HttpOnly; SameSite=lax
Set-CookieNID=CvUBCAESpwEBOxGDSCmRkrFAaI3leJRoVoZzK3xrAOVdPTqNcbNVqVUmnzed4uEmLEqgHLTxnFa4TSgGmvY2FBPWOmHRs-OQX90FP0PXlhpRUa4bXvfieKX599fHZvwDVP5xWuTbwbGoR9ir9wusrewkqyCi0vlg-D6m-4FC-Lfn_YDUQH3Vp3dtHkySsbKwxz3VtUOCIbFntkxxac7sERTks0BBNDUgfD3QSl09qigBMkUB0qwHz3K0I4TisFo4npNy9dy8QQBpk6pykr3Nu_JV4CmI9dr3r7W7PyqhFasOSjHwUVuddy2JpgqoYChzEfU6eCqSxQs; expires=Sun, 18-Apr-2027 06:00:11 GMT; path=/; domain=.google.com; HttpOnly

Что показывает проверка HTTP-заголовков

Введите любой URL, и мы запросим его с нашего сервера точно так, как это сделал бы браузер, не переходя по перенаправлениям автоматически. Это позволяет показать вам каждый шаг в цепочке перенаправлений с кодом состояния и временем ответа, а затем полные заголовки ответа конечной страницы и оценку заголовков безопасности.

Шпаргалка по кодам состояния HTTP

КодЗначениеПримечание для SEO
200 OKСтраница загрузилась нормально.Может индексироваться.
301 Moved PermanentlyПостоянное перенаправление.Передаёт сигналы ранжирования; используйте при переносе домена и переходе с HTTP на HTTPS.
302 / 307 Temporary redirectВременный перенос.Поисковые системы сохраняют в индексе исходный URL.
308 Permanent RedirectКак 301, но сохраняет метод запроса.Обрабатывается как 301.
304 Not ModifiedКешированная копия по-прежнему актуальна.Нормально для повторных визитов.
403 ForbiddenДоступ запрещён, часто из-за межсетевого экрана или защиты от ботов.Может блокировать поисковых роботов.
404 Not FoundПо этому URL нет страницы.Со временем выпадает из индекса.
410 GoneУдалена намеренно.Удаляется из индекса быстрее, чем при 404.
500 / 502 / 503Ошибка сервера или вышестоящего сервера.Постоянные ошибки 5xx мешают обходу сайта.

Рекомендации по перенаправлениям

  • Ограничивайте цепочки одним шагом: http://example.com должен вести сразу на https://www.example.com/, а не через два-три промежуточных URL.
  • Для постоянных переносов используйте 301 или 308, чтобы поисковые системы передавали сигналы ранжирования.
  • Избегайте циклических перенаправлений и смешанных переходов с HTTPS на HTTP.

Рекомендуемые заголовки безопасности

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Добавляйте HSTS только тогда, когда каждый поддомен поддерживает HTTPS, а CSP сначала внедряйте в режиме Content-Security-Policy-Report-Only. Проверить сторону TLS можно с помощью нашего инструмента Проверка SSL-сертификата.

Часто задаваемые вопросы

Почему я получаю 403, хотя сайт открывается в моём браузере?

Некоторые сайты с помощью защиты от ботов блокируют автоматические запросы или запросы из облачных дата-центров.

Какие порты можно проверить?

Порты 80, 443, 8080 и 8443 на публичных адресах. Частные и внутренние адреса блокируются из соображений безопасности.

Обновлено

Скопировано в буфер обмена