¿Qué son los encabezados HTTP?

Los encabezados HTTP son pares clave-valor enviados entre un cliente y un servidor como parte de cada solicitud y respuesta HTTP. Llevan metadatos sobre la conexión — tipo de contenido, reglas de almacenamiento en caché, políticas de seguridad, tokens de autenticación, y más. Cada encabezado sigue el formato Header-Name: value y se rige por estándares como RFC 7230 y RFC 9110.

Los encabezados configurados correctamente son críticos para la seguridad web, el rendimiento y la interoperabilidad. Los encabezados mal configurados pueden exponer la tecnología del servidor, debilitar la postura de seguridad, causar problemas de almacenamiento en caché o romper solicitudes entre orígenes. Los encabezados de seguridad como Strict-Transport-Security, Content-Security-Policy y X-Content-Type-Options son especialmente importantes para proteger a los usuarios contra ataques comunes como clickjacking, MIME-type sniffing y degradación de protocolo.

Descripción de la herramienta

Este validador de encabezados HTTP verifica los encabezados HTTP sin procesar en busca de errores de sintaxis, problemas de seguridad y violaciones de mejores prácticas. Pegue sus encabezados y la herramienta valida instantáneamente cada uno contra estándares RFC, marca encabezados obsoletos, detecta duplicados, advierte sobre configuraciones riesgosas e identifica encabezados de seguridad faltantes. Informa el recuento total de encabezados junto con una lista detallada de todos los problemas encontrados.

Características

  • Valida nombres de encabezados contra las reglas de caracteres de token RFC 7230
  • Verifica valores específicos de encabezados para estándares como Content-Type, Cache-Control, HSTS, X-Frame-Options y CORS
  • Marca encabezados obsoletos (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) con alternativas recomendadas
  • Detecta encabezados de seguridad faltantes: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy y Permissions-Policy
  • Informa sobre encabezados duplicados, valores vacíos y caracteres de control inválidos

Cómo funciona

El validador analiza cada línea de entrada como un par Name: Value (omitiendo líneas de estado HTTP). Luego ejecuta una serie de verificaciones en orden: validación de sintaxis (caracteres válidos, colocación correcta de dos puntos, sin caracteres de control), detección de duplicados, búsqueda de obsolescencia y validación de valores específicos de encabezados. Finalmente, busca encabezados de seguridad faltantes que se recomiendan para implementaciones en producción. Cada problema se categoriza como un error (problema estructural) o una advertencia (preocupación de mejores prácticas).

Casos de uso

  • Auditar los encabezados de respuesta de su servidor web antes de una revisión de seguridad o prueba de penetración
  • Depurar respuestas de API detectando rápidamente encabezados mal formados o faltantes
  • Verificar que los encabezados de seguridad cumplan con los requisitos de producción después de un cambio de configuración del servidor