Cosa sono gli header HTTP?

Gli header HTTP sono coppie chiave-valore inviate tra un client e un server come parte di ogni richiesta e risposta HTTP. Trasportano metadati sulla connessione — tipo di contenuto, regole di caching, politiche di sicurezza, token di autenticazione e altro. Ogni header segue il formato Header-Name: value ed è regolato da standard come RFC 7230 e RFC 9110.

Gli header correttamente configurati sono critici per la sicurezza web, le prestazioni e l'interoperabilità. Gli header mal configurati possono esporre la tecnologia del server, indebolire la postura di sicurezza, causare problemi di caching o interrompere le richieste cross-origin. Gli header di sicurezza come Strict-Transport-Security, Content-Security-Policy e X-Content-Type-Options sono particolarmente importanti per proteggere gli utenti da attacchi comuni come clickjacking, MIME-type sniffing e protocol downgrade.

Descrizione dello strumento

Questo validatore di header HTTP controlla gli header HTTP grezzi per errori di sintassi, problemi di sicurezza e violazioni delle best practice. Incolla i tuoi header e lo strumento convalida istantaneamente ognuno di essi rispetto agli standard RFC, contrassegna gli header deprecati, rileva i duplicati, avverte sulle configurazioni rischiose e identifica gli header di sicurezza mancanti. Riporta il numero totale di header insieme a un elenco dettagliato di tutti i problemi trovati.

Funzionalità

  • Convalida i nomi degli header rispetto alle regole dei caratteri token RFC 7230
  • Controlla i valori specifici degli header per standard come Content-Type, Cache-Control, HSTS, X-Frame-Options e CORS
  • Contrassegna gli header deprecati (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) con alternative consigliate
  • Rileva gli header di sicurezza mancanti: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy e Permissions-Policy
  • Segnala header duplicati, valori vuoti e caratteri di controllo non validi

Come funziona

Il validatore analizza ogni riga di input come una coppia Name: Value (saltando le righe di stato HTTP). Quindi esegue una serie di controlli in ordine: convalida della sintassi (caratteri validi, corretta posizione dei due punti, nessun carattere di controllo), rilevamento dei duplicati, ricerca della deprecazione e convalida del valore specifico dell'header. Infine, esegue la scansione degli header di sicurezza mancanti che sono consigliati per le distribuzioni in produzione. Ogni problema è categorizzato come errore (problema strutturale) o avviso (problema di best practice).

Casi d'uso

  • Audit degli header di risposta del tuo server web prima di una revisione di sicurezza o test di penetrazione
  • Debug delle risposte API individuando rapidamente header malformati o mancanti
  • Verifica che gli header di sicurezza soddisfino i requisiti di produzione dopo una modifica della configurazione del server