O que são cabeçalhos HTTP?

Os cabeçalhos HTTP são pares chave-valor enviados entre um cliente e servidor como parte de cada requisição e resposta HTTP. Eles carregam metadados sobre a conexão — tipo de conteúdo, regras de cache, políticas de segurança, tokens de autenticação e muito mais. Cada cabeçalho segue o formato Header-Name: value e é regido por padrões como RFC 7230 e RFC 9110.

Cabeçalhos configurados corretamente são críticos para segurança web, desempenho e interoperabilidade. Cabeçalhos mal configurados podem expor a tecnologia do servidor, enfraquecer a postura de segurança, causar problemas de cache ou quebrar requisições entre origens. Cabeçalhos de segurança como Strict-Transport-Security, Content-Security-Policy e X-Content-Type-Options são especialmente importantes para proteger usuários contra ataques comuns como clickjacking, detecção de tipo MIME e downgrade de protocolo.

Descrição da ferramenta

Este validador de cabeçalhos HTTP verifica cabeçalhos HTTP brutos quanto a erros de sintaxe, problemas de segurança e violações de melhores práticas. Cole seus cabeçalhos e a ferramenta valida instantaneamente cada um contra padrões RFC, marca cabeçalhos descontinuados, detecta duplicatas, avisa sobre configurações arriscadas e identifica cabeçalhos de segurança ausentes. Ela relata a contagem total de cabeçalhos junto com uma lista detalhada de todos os problemas encontrados.

Recursos

  • Valida nomes de cabeçalho contra regras de caracteres de token RFC 7230
  • Verifica valores específicos de cabeçalho para padrões como Content-Type, Cache-Control, HSTS, X-Frame-Options e CORS
  • Marca cabeçalhos descontinuados (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) com alternativas recomendadas
  • Detecta cabeçalhos de segurança ausentes: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy e Permissions-Policy
  • Relata cabeçalhos duplicados, valores vazios e caracteres de controle inválidos

Como funciona

O validador analisa cada linha de entrada como um par Name: Value (pulando linhas de status HTTP). Em seguida, executa uma série de verificações em ordem: validação de sintaxe (caracteres válidos, colocação correta de dois-pontos, sem caracteres de controle), detecção de duplicatas, busca de descontinuação e validação de valor específico do cabeçalho. Por fim, verifica cabeçalhos de segurança ausentes que são recomendados para implantações em produção. Cada problema é categorizado como um erro (problema estrutural) ou um aviso (preocupação de melhores práticas).

Casos de uso

  • Auditar os cabeçalhos de resposta do seu servidor web antes de uma revisão de segurança ou teste de penetração
  • Depurar respostas de API identificando rapidamente cabeçalhos malformados ou ausentes
  • Verificar que os cabeçalhos de segurança atendem aos requisitos de produção após uma alteração de configuração do servidor