Проверка HTTP-заголовков

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

Например: http://github.com, wikipedia.org, example.com

Цепочка перенаправлений

1 запрос
#СтатусURLВремя
1 200 OK https://www.google.com 58 ms

Заголовки безопасности

1/6F
  • Strict-Transport-Security
    Заставляет браузеры использовать HTTPS при последующих посещениях (HSTS).
  • Content-Security-Policy
    Ограничивает, какие скрипты, стили и фреймы могут загружаться; самая надёжная защита от XSS.
  • X-Content-Type-Options
    Установите 'nosniff', чтобы браузеры не угадывали тип содержимого.
  • X-Frame-Options: SAMEORIGIN
    Предотвращает clickjacking, определяя, кто может встраивать страницу во фрейм (или используйте CSP frame-ancestors).
  • Referrer-Policy
    Определяет, какая часть URL отправляется другим сайтам в заголовке Referer.
  • Permissions-Policy
    Отключает мощные функции браузера (камера, геолокация и др.), которые сайт не использует.
HTTP/3: Объявлен h3=":443"; ma=2592000,h3-29=":443"; ma=2592000 · Сервер: gws

Заголовки ответа

https://www.google.com · 142.251.151.119
Content-Typetext/html; charset=ISO-8859-1
DateSun, 18 Oct 2026 08:50:25 GMT
Expires-1
Cache-Controlprivate, max-age=0
Content-Security-Policy-Report-Onlyobject-src 'none';base-uri 'self';script-src 'nonce-j_5QJ2PUPrfmN-tHND8_PQ' 'strict-dynamic' 'report-sample' 'unsafe-eval' 'unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp
Accept-CHSec-CH-Prefers-Color-Scheme
P3PCP="This is not a P3P policy! See g.co/p3phelp for more info."
Content-Encodinggzip
Servergws
X-XSS-Protection0
X-Frame-OptionsSAMEORIGIN
Set-Cookie__Secure-STRP=ABNhA6jJgLEo8-ZEecXwOAX-C64Z9MMdOi99mWIvN5uLv1Ejxnum5wkMPVrypdzI_hkWzALfyvYaqosyr89-Wo_8ZxvRN4H09A; expires=Sun, 18-Oct-2026 08:55:25 GMT; path=/; domain=.google.com; Secure; SameSite=strict
Set-CookieAEC=Aaa9EJqSHqT5VpIJpONGazvccO3tEmqavepK6LZ00h8e5NHInSK-Y9RJVA; expires=Fri, 16-Apr-2027 08:50:25 GMT; path=/; domain=.google.com; Secure; HttpOnly; SameSite=lax
Set-CookieNID=CvUBCAESpwEBOxGDSE1ab_N3PnanW3oiU_UsIyxwUft4YeY0b6PZoMLhoL4i2QVuFdKG78-Mz-il2jy3HDfmN2dM0HClgiqeJ3OoFwzTXnx7Nl_Yw9jSWNoKU7Dh2j1XWFmsFJd4DIKgDK8BcJ9wNZJmEMR9wSuLPdKU9-zHTICLOtO4wCqbXvwn8zGYguntusWuMYzNvbogj8Z9IP3-wucJj-o0DXm4H5L-Mze_gCgBMkUB0qwHz5okvaALBDrXRkQSh0QwQm5Pv2wOPstoVAn4LLiDuedufpHiSuMGmjM3E2U0J8pkNanMV3kiOUTTi4N_7fiMKw0; expires=Mon, 19-Apr-2027 08:50:25 GMT; path=/; domain=.google.com; HttpOnly
Alt-Svch3=":443"; ma=2592000,h3-29=":443"; ma=2592000
Transfer-Encodingchunked

Что показывает проверка HTTP-заголовков

Введите любой URL, и мы запросим его с нашего сервера точно так, как это сделал бы браузер, не переходя по перенаправлениям автоматически. Это позволяет показать вам каждый шаг в цепочке перенаправлений с кодом состояния и временем ответа, а затем полные заголовки ответа конечной страницы и оценку заголовков безопасности.

Шпаргалка по кодам состояния HTTP

КодЗначениеПримечание для SEO
200 OKСтраница загрузилась нормально.Может индексироваться.
301 Moved PermanentlyПостоянное перенаправление.Передаёт сигналы ранжирования; используйте при переносе домена и переходе с HTTP на HTTPS.
302 / 307 Temporary redirectВременный перенос.Поисковые системы сохраняют в индексе исходный URL.
308 Permanent RedirectКак 301, но сохраняет метод запроса.Обрабатывается как 301.
304 Not ModifiedКешированная копия по-прежнему актуальна.Нормально для повторных визитов.
403 ForbiddenДоступ запрещён, часто из-за межсетевого экрана или защиты от ботов.Может блокировать поисковых роботов.
404 Not FoundПо этому URL нет страницы.Со временем выпадает из индекса.
410 GoneУдалена намеренно.Удаляется из индекса быстрее, чем при 404.
500 / 502 / 503Ошибка сервера или вышестоящего сервера.Постоянные ошибки 5xx мешают обходу сайта.

Рекомендации по перенаправлениям

  • Ограничивайте цепочки одним шагом: http://example.com должен вести сразу на https://www.example.com/, а не через два-три промежуточных URL.
  • Для постоянных переносов используйте 301 или 308, чтобы поисковые системы передавали сигналы ранжирования.
  • Избегайте циклических перенаправлений и смешанных переходов с HTTPS на HTTP.

Рекомендуемые заголовки безопасности

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Добавляйте HSTS только тогда, когда каждый поддомен поддерживает HTTPS, а CSP сначала внедряйте в режиме Content-Security-Policy-Report-Only. Проверить сторону TLS можно с помощью нашего инструмента Проверка SSL-сертификата.

Часто задаваемые вопросы

Почему я получаю 403, хотя сайт открывается в моём браузере?

Некоторые сайты с помощью защиты от ботов блокируют автоматические запросы или запросы из облачных дата-центров.

Какие порты можно проверить?

Порты 80, 443, 8080 и 8443 на публичных адресах. Частные и внутренние адреса блокируются из соображений безопасности.

Обновлено

Комментарии

Оценок пока нет

Войдите, чтобы оценить этот инструмент.

Поделитесь советом, задайте вопрос или расскажите, как вам помог инструмент.

Комментариев пока нет. Расскажите первым, как всё прошло.

Скопировано в буфер обмена