Что такое HTTP-заголовки?

HTTP-заголовки — это пары ключ-значение, отправляемые между клиентом и сервером в составе каждого HTTP-запроса и ответа. Они содержат метаданные о соединении — тип контента, правила кеширования, политики безопасности, токены аутентификации и многое другое. Каждый заголовок следует формату Header-Name: value и регулируется стандартами, такими как RFC 7230 и RFC 9110.

Правильно настроенные заголовки критически важны для безопасности веб-приложений, производительности и совместимости. Неправильно настроенные заголовки могут раскрыть технологию сервера, ослабить позицию безопасности, вызвать проблемы с кешированием или нарушить кросс-доменные запросы. Заголовки безопасности, такие как Strict-Transport-Security, Content-Security-Policy и X-Content-Type-Options, особенно важны для защиты пользователей от распространённых атак, таких как clickjacking, MIME-type sniffing и понижение версии протокола.

Описание инструмента

Этот валидатор HTTP-заголовков проверяет необработанные HTTP-заголовки на синтаксические ошибки, проблемы безопасности и нарушения лучших практик. Вставьте ваши заголовки, и инструмент мгновенно проверит каждый из них в соответствии со стандартами RFC, отметит устаревшие заголовки, обнаружит дубликаты, предупредит об опасных конфигурациях и определит отсутствующие заголовки безопасности. Он выводит общее количество заголовков вместе с подробным списком всех найденных проблем.

Возможности

  • Проверка имён заголовков в соответствии с правилами символов токена RFC 7230
  • Проверка значений, специфичных для заголовков, в соответствии со стандартами Content-Type, Cache-Control, HSTS, X-Frame-Options и CORS
  • Отметка устаревших заголовков (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) с рекомендуемыми альтернативами
  • Обнаружение отсутствующих заголовков безопасности: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy и Permissions-Policy
  • Отчёт о дубликатах заголовков, пустых значениях и недопустимых управляющих символах

Как это работает

Валидатор анализирует каждую строку входных данных как пару Name: Value (пропуская строки статуса HTTP). Затем он выполняет серию проверок по порядку: проверка синтаксиса (допустимые символы, правильное размещение двоеточия, отсутствие управляющих символов), обнаружение дубликатов, поиск в списке устаревших заголовков и проверка значений, специфичных для заголовков. Наконец, он сканирует отсутствующие заголовки безопасности, которые рекомендуются для развёртывания в production. Каждая проблема классифицируется как ошибка (структурная проблема) или предупреждение (проблема лучших практик).

Варианты использования

  • Аудит заголовков ответов вашего веб-сервера перед проверкой безопасности или тестированием на проникновение
  • Отладка ответов API путём быстрого выявления неправильно сформированных или отсутствующих заголовков
  • Проверка того, что заголовки безопасности соответствуют требованиям production после изменения конфигурации сервера