Hva er HTTP-headere?

HTTP-headere er nøkkel-verdi-par som sendes mellom en klient og server som en del av hver HTTP-forespørsel og respons. De inneholder metadata om forbindelsen — innholdstype, caching-regler, sikkerhetspolicyer, autentiseringstokens og mer. Hver header følger formatet Header-Name: value og er styrt av standarder som RFC 7230 og RFC 9110.

Riktig konfigurerte headere er kritiske for websikkerhet, ytelse og interoperabilitet. Feilkonfigurerte headere kan eksponere serverteknologi, svekke sikkerhetsstillingen, forårsake caching-problemer eller bryte forespørsler på tvers av opprinnelse. Sikkerhetsheder som Strict-Transport-Security, Content-Security-Policy og X-Content-Type-Options er spesielt viktige for å beskytte brukere mot vanlige angrep som clickjacking, MIME-type-sniffing og protokollnedgradering.

Verktøybeskrivelse

Denne HTTP-headers-validatoren sjekker rå HTTP-headere for syntaksfeil, sikkerhetsproblemer og brudd på beste praksis. Lim inn headerene dine, og verktøyet validerer øyeblikkelig hver enkelt mot RFC-standarder, flagg foreldede headere, oppdager duplikater, advarer om risikofylte konfigurasjoner og identifiserer manglende sikkerhetsheder. Den rapporterer det totale antallet headere sammen med en detaljert liste over alle problemer som ble funnet.

Funksjoner

  • Validerer headernavn mot RFC 7230 token-tegnregler
  • Sjekker headerspesifikke verdier for standarder som Content-Type, Cache-Control, HSTS, X-Frame-Options og CORS
  • Flagg foreldede headere (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) med anbefalte alternativer
  • Oppdager manglende sikkerhetsheder: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy og Permissions-Policy
  • Rapporterer duplikatheder, tomme verdier og ugyldige kontrolltegn

Hvordan det fungerer

Validatoren analyserer hver linje med inndata som et Name: Value-par (hopper over HTTP-statuslinjer). Den kjører deretter en serie kontroller i rekkefølge: syntaksvalidering (gyldige tegn, riktig kolonplassering, ingen kontrolltegn), duplikatdeteksjon, foreldelsesoppslag og headerspesifikk verdivalidering. Til slutt skanner den etter manglende sikkerhetsheder som anbefales for produksjonsdistribusjoner. Hvert problem kategoriseres som enten en feil (strukturelt problem) eller en advarsel (bekymring for beste praksis).

Brukstilfeller

  • Revisjon av webserverens responsheder før en sikkerhetsgjennomgang eller penetrasjonstest
  • Feilsøking av API-svar ved raskt å oppdage malformerte eller manglende headere
  • Verifisering av at sikkerhetsheder oppfyller produksjonskrav etter en serverkonfigurasjonsendring