فاحص رؤوس HTTP
هذا فاحص رؤوس HTTP المجاني يطلب عنوان URL ويسرد كل رأس استجابة يرسله الخادم: الحالة ونوع المحتوى والتخزين المؤقت والضغط والكوكيز ورؤوس الأمان. يتم تقييم كل رأس أمان (HSTS و Content-Security-Policy و X-Content-Type-Options و X-Frame-Options و Referrer-Policy و Permissions-Policy) بـ نجح أو يحتاج عمل أو مفقود، مع السطر المراد إضافته. يناسب المطورين وأصحاب المواقع.
HTTP Headers Checker
Technical SEO
عن هذه الأداة
رؤوس الاستجابة هي الجزء من صفحة الويب الذي لا يراه أحد ويعتمد عليه الجميع. تخبر المتصفحات ما إذا كان يجب تخزين الصفحة مؤقتاً، وما إذا كان يمكن وضعها في إطار من قبل موقع آخر، والبرامج النصية التي قد تعمل، وما إذا كانت الكوكيز آمنة من البرامج النصية، وما إذا كان يجب الإصرار على HTTPS. رؤوس الأمان المفقودة هي الاكتشاف الأكثر شيوعاً في أي مراجعة أمان موقع ويب، وتتطلب معظمها سطر واحد فقط من تكوين الخادم لإصلاحها.
يطلب الفاحص عنوان URL من خادمنا، ويتابع حتى ثلاث عمليات إعادة توجيه، ويطبع رؤوس الاستجابة النهائية تماماً كما تم استقبالها، في صندوق قابل للنسخ. ثم يقيم الرؤوس المهمة: Strict-Transport-Security و Content-Security-Policy و X-Content-Type-Options و X-Frame-Options (أو توجيه frame-ancestors) و Referrer-Policy و Permissions-Policy وأعلام الكوكيز (Secure و HttpOnly و SameSite) و Cache-Control و Content-Encoding وسلاسل الإصدار التي يسربها Server و X-Powered-By.
قد تختلف الرؤوس حسب المسار والجهاز وما إذا كانت شبكة توصيل المحتوى تخدم الصفحة، لذا تحقق من الصفحات المهمة بدلاً من الصفحة الرئيسية فقط. يتم تقييم Content-Security-Policy على أنها موجودة أو غير موجودة، وليس من حيث القوة، لأن السياسة الآمنة تعتمد على البرامج النصية التي يستخدمها موقعك فعلاً. الرؤوس التي يتم تعيينها بواسطة JavaScript أو داخل HTML (meta http-equiv) ليست رؤوس استجابة ولا تظهر هنا.
الأسئلة الشائعة
ما رؤوس الأمان التي يجب أن يرسلها كل موقع ويب؟
على الأقل: Strict-Transport-Security على مواقع HTTPS و X-Content-Type-Options: nosniff وقاعدة إطار (X-Frame-Options: SAMEORIGIN أو Content-Security-Policy مع frame-ancestors) و Referrer-Policy: strict-origin-when-cross-origin. Content-Security-Policy و Permissions-Policy هما الخطوة التالية. جميعها سطور واحدة في Nginx أو Apache أو إعدادات CDN الخاصة بك.
ماذا يفعل HSTS وهل من الآمن تفعيله؟
Strict-Transport-Security يخبر المتصفحات باستخدام HTTPS لنطاقك للوقت المحدد، حتى عندما يقول الرابط http. يوقف هجمات الخفض ويوفر إعادة توجيه. فعّله فقط عندما تعمل كل صفحة ونطاق فرعي عبر HTTPS، ابدأ بـ max-age قصير مثل 300، ثم ارفعه إلى 31536000 (سنة واحدة) بمجرد التأكد.
هل تؤثر رؤوس الأمان على SEO؟
ليس بشكل مباشر: Google لا يصنف المواقع حسب الرؤوس. إنها مهمة للثقة والأمان، و HSTS يمكن أن يوفر إعادة توجيه واحدة. رؤوس التخزين المؤقت والضغط تؤثر على السرعة، وهي عامل ترتيب، لذا فإن Cache-Control على الملفات الثابتة و gzip أو Brotli compression تستحق الإصلاح أولاً.
لماذا يعرض الفاحص رؤوساً مختلفة عن متصفحي؟
تختلف الخوادم و CDNs الرؤوس حسب الطلب: جلسة مسجلة الدخول أو وكيل مستخدم جوال أو نسخة مخزنة مؤقتاً في حافة CDN أو منطقة مختلفة يمكن أن تغيرها جميعاً. طلبنا يأتي من خادم بوكيل مستخدم متصفح سطح المكتب وبدون كوكيز، لذا قارنه بنافذة تصفح خاصة.
هل يجب إخفاء رؤوس Server و X-Powered-By؟
أخفِ أرقام الإصدار على الأقل. الإعلان عن "Apache/2.4.29" أو "PHP/7.4" يخبر المهاجمين بالضبط أي الثغرات المعروفة يجب محاولتها. اسم الخادم وحده غير ضار. في Nginx استخدم server_tokens off؛ في Apache ServerTokens Prod؛ في PHP expose_php = Off يزيل X-Powered-By.