HTTP响应头检测

RSS

See the HTTP status code, full redirect chain and response headers for any URL, and get a security headers grade with fixes.

试试： http://github.com, wikipedia.org, example.com

重定向链

1 个请求
#状态URL时间
1 200 OK https://www.google.com 61 ms

安全响应头

1/6F
  • Strict-Transport-Security
    强制浏览器在今后访问时使用 HTTPS（HSTS）。
  • Content-Security-Policy
    限制可以加载哪些脚本、样式和框架；防御 XSS 的最强手段。
  • X-Content-Type-Options
    设置为 'nosniff'，以阻止浏览器猜测内容类型。
  • X-Frame-Options: SAMEORIGIN
    通过控制谁可以将页面嵌入框架来防止点击劫持（也可使用 CSP frame-ancestors）。
  • Referrer-Policy
    控制通过 Referer 请求头向其他网站发送多少 URL 信息。
  • Permissions-Policy
    关闭网站未使用的强大浏览器功能（摄像头、地理位置等）。
HTTP/3: 已声明 h3=":443"; ma=2592000,h3-29=":443"; ma=2592000 · 服务器： gws

响应头

https://www.google.com · 142.251.150.119
Content-Typetext/html; charset=ISO-8859-1
DateSun, 18 Oct 2026 12:27:35 GMT
Expires-1
Cache-Controlprivate, max-age=0
Content-Security-Policy-Report-Onlyobject-src 'none';base-uri 'self';script-src 'nonce-Pf-mMKrvwiXvZ-dvVkGavw' 'strict-dynamic' 'report-sample' 'unsafe-eval' 'unsafe-inline' https: http:;report-uri https://csp.withgoogle.com/csp/gws/other-hp
Accept-CHSec-CH-Prefers-Color-Scheme
P3PCP="This is not a P3P policy! See g.co/p3phelp for more info."
Content-Encodinggzip
Servergws
X-XSS-Protection0
X-Frame-OptionsSAMEORIGIN
Set-Cookie__Secure-STRP=ABNhA6ge2GV339dD200fC3_eeHYAF1PZriabG3mdyn5PklTKIktVg5IeXi0qnPIpF36M-r7jF0zzlGydJLVH3TZj9QTM8n0nqw; expires=Sun, 18-Oct-2026 12:32:35 GMT; path=/; domain=.google.com; Secure; SameSite=strict
Set-CookieAEC=Aaa9EJryrW4YjqFODBW2TjJ25cEzX0B3NyGMzCiV4k8UIeuTCzqvI4oyFg; expires=Fri, 16-Apr-2027 12:27:35 GMT; path=/; domain=.google.com; Secure; HttpOnly; SameSite=lax
Set-CookieNID=CvYBCAESqAEBOxGDSOKiJ8-19vO5RkPjrYJ18suSaZblmLR2maYp512ccV7sb_d6Qd1wOzraW47p8e6fRMw_tkPYFUVLgYcZ99b01sbiK_nqNCopE8NwX2TIeVbrTBGJI3fLrBvokG6c738TwmskFOau6oZ_ZmkVMxT8tQ63SHF1qHnCsC7mqyljYvTpSoIpywuJwF8v1eQO2TgVvkGgSfaar7wZ1QvRpdQN0uK8vQkoATJFAdKsB89fqNNYblbvY5woOLxyNr8--7VETJrNgZBHcH3pAJWAOAqkioTCsagO5BkAb2q1ixZLWOlsRHs1j0KolQ7gjHEH; expires=Mon, 19-Apr-2027 12:27:35 GMT; path=/; domain=.google.com; HttpOnly
Alt-Svch3=":443"; ma=2592000,h3-29=":443"; ma=2592000
Transfer-Encodingchunked

这个 HTTP 响应头检测工具能显示什么

输入任意 URL，我们就会从服务器上像浏览器一样请求它，并且不会自动跟随重定向。这样我们就能向您展示重定向链中的每一跳及其状态码和响应时间，随后是最终页面完整的响应头和安全响应头评分。

HTTP 状态码速查表

状态码含义SEO 说明
200 OK页面正常加载。可被收录。
301 Moved Permanently（永久移动）永久重定向。传递排名信号；用于域名迁移和 HTTP→HTTPS。
302 / 307 临时重定向临时移动。搜索引擎会保留原始 URL 的收录。
308 Permanent Redirect（永久重定向）与 301 类似，但保留请求方法。按 301 处理。
304 Not Modified（未修改）缓存副本仍然有效。重复访问时属于正常情况。
403 Forbidden（禁止访问）访问被拒绝，通常是防火墙或机器人防护所致。可能会阻止爬虫。
404 Not Found（未找到）此 URL 下没有页面。随着时间推移会从索引中消失。
410 Gone（已删除）被有意删除。比 404 更快地从索引中移除。
500 / 502 / 503服务器或上游错误。持续出现 5xx 错误会损害抓取。

重定向最佳实践

  • 把重定向链控制在一跳之内：http://example.com 应当直接跳转到 https://www.example.com/，而不是经过两三个中间 URL。
  • 永久移动请使用 301 或 308，这样搜索引擎才会传递排名信号。
  • 避免重定向循环以及 HTTPS→HTTP 的混合跳转。

推荐的安全响应头

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

只有在每个子域名都支持 HTTPS 之后才添加 HSTS，并且先在 Content-Security-Policy-Report-Only 模式下推出 CSP。TLS 方面请用我们的 SSL证书检测检查。

常见问题

为什么网站在我的浏览器里能正常打开，我却看到 403？

有些网站会用机器人防护拦截自动化请求，或来自云数据中心的请求。

可以检查哪些端口？

公网地址上的 80、443、8080 和 8443 端口。出于安全考虑，私有地址和内部地址会被屏蔽。

更新于

评论

暂无评分

登录后即可为此工具评分。

分享技巧、提出问题，或说说这个工具对您是否有用。

还没有评论，来分享您的使用体验吧。

已复制到剪贴板