HTTP Headers Checker
यह मुफ्त HTTP headers checker एक URL को request करता है और server द्वारा भेजे गए हर response header को list करता है: status, content type, caching, compression, cookies और security headers। हर security header (HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) को pass, needs work या missing के रूप में ग्रेड किया जाता है, साथ में जोड़ने के लिए line दी जाती है। यह developers और site owners के लिए उपयुक्त है।
HTTP Headers Checker
Technical SEO
इस टूल के बारे में
Response headers वह हिस्सा हैं जो कोई नहीं देखता लेकिन सभी पर निर्भर करते हैं। ये browsers को बताते हैं कि page को cache करना है या नहीं, क्या इसे दूसरी site से frame किया जा सकता है, कौन से scripts चल सकते हैं, क्या cookies scripts से सुरक्षित हैं, और क्या HTTPS पर जोर देना है। Missing security headers किसी भी website security review में सबसे आम finding हैं, और ज्यादातर को server configuration में एक line से ठीक किया जा सकता है।
Checker हमारे server से URL को request करता है, तीन तक redirects को follow करता है, और final response के headers को बिल्कुल जैसे प्राप्त हुए हैं copyable box में print करता है। फिर यह महत्वपूर्ण ones को ग्रेड करता है: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (या frame-ancestors directive), Referrer-Policy, Permissions-Policy, cookie flags (Secure, HttpOnly, SameSite), Cache-Control, Content-Encoding और Server तथा X-Powered-By द्वारा leaked version strings।
Headers path, device और CDN द्वारा serve किए जाने के आधार पर अलग हो सकते हैं, इसलिए उन pages को check करें जो मायने रखते हैं न कि केवल homepage। Content-Security-Policy को present या absent के रूप में ग्रेड किया जाता है, strength के लिए नहीं, क्योंकि safe policy आपकी site द्वारा वास्तव में उपयोग किए जाने वाले scripts पर निर्भर करता है। JavaScript द्वारा या HTML के अंदर (meta http-equiv) set किए गए headers response headers नहीं हैं और यहाँ दिखाई नहीं देते।
अक्सर पूछे जाने वाले सवाल
हर website को कौन से security headers भेजने चाहिए?
कम से कम: HTTPS sites पर Strict-Transport-Security, X-Content-Type-Options: nosniff, एक framing rule (X-Frame-Options: SAMEORIGIN या Content-Security-Policy with frame-ancestors), और Referrer-Policy: strict-origin-when-cross-origin। Content-Security-Policy और Permissions-Policy अगला कदम हैं। ये सभी Nginx, Apache या आपकी CDN settings में single lines हैं।
HSTS क्या करता है और क्या इसे enable करना सुरक्षित है?
Strict-Transport-Security browsers को बताता है कि आपके domain के लिए stated time के लिए HTTPS का उपयोग करें, भले ही एक link http कहे। यह downgrade attacks को रोकता है और एक redirect बचाता है। इसे केवल तभी enable करें जब हर page और subdomain HTTPS पर काम करे, 300 जैसे short max-age से शुरू करें, फिर एक बार निश्चित होने पर इसे 31536000 (एक साल) तक बढ़ाएं।
क्या security headers SEO को प्रभावित करते हैं?
सीधे नहीं: Google sites को headers द्वारा rank नहीं करता। ये trust और safety के लिए मायने रखते हैं, और HSTS एक redirect बचा सकता है। Caching और compression headers speed को प्रभावित करते हैं, जो एक ranking factor है, इसलिए static files पर Cache-Control और gzip या Brotli compression पहले ठीक करने लायक हैं।
checker अपने browser से अलग headers क्यों दिखाता है?
Servers और CDNs request द्वारा headers को vary करते हैं: एक logged-in session, एक mobile user agent, CDN edge पर एक cached copy या एक अलग region सभी इन्हें बदल सकते हैं। हमारा request एक desktop browser user agent और कोई cookies के बिना एक server से आता है, इसलिए इसे एक private browsing window से compare करें।
क्या मुझे Server और X-Powered-By headers को hide करना चाहिए?
कम से कम version numbers को hide करें। "Apache/2.4.29" या "PHP/7.4" की घोषणा attackers को बताती है कि कौन सी known vulnerabilities को try करना है। Server name अकेला harmless है। Nginx में server_tokens off; Apache में ServerTokens Prod; PHP में expose_php = Off X-Powered-By को remove करता है।