HTTP Headers Checker
Questo checker gratuito di intestazioni HTTP richiede un URL ed elenca ogni intestazione di risposta che il server invia: stato, tipo di contenuto, cache, compressione, cookie e le intestazioni di sicurezza. Ogni intestazione di sicurezza (HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) è valutata come superata, da migliorare o mancante, con la riga da aggiungere. È adatto a sviluppatori e proprietari di siti.
HTTP Headers Checker
Technical SEO
Informazioni su questo strumento
Le intestazioni di risposta sono la parte di una pagina web che nessuno vede e da cui tutti dipendono. Dicono ai browser se memorizzare la pagina nella cache, se può essere incorniciata da un altro sito, quali script possono essere eseguiti, se i cookie sono al sicuro dagli script e se insistere su HTTPS. Le intestazioni di sicurezza mancanti sono il risultato più comune in qualsiasi revisione della sicurezza del sito web, e la maggior parte richiede una riga di configurazione del server per essere corretta.
Il checker richiede l'URL dal nostro server, segue fino a tre reindirizzamenti e stampa le intestazioni della risposta finale esattamente come ricevute, in una casella copiabile. Quindi valuta quelle che contano: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (o una direttiva frame-ancestors), Referrer-Policy, Permissions-Policy, flag cookie (Secure, HttpOnly, SameSite), Cache-Control, Content-Encoding e le stringhe di versione divulgate da Server e X-Powered-By.
Le intestazioni possono variare per percorso, per dispositivo e a seconda che una CDN serva la pagina, quindi controlla le pagine che contano piuttosto che solo la homepage. Una Content-Security-Policy è valutata come presente o assente, non per forza, perché una policy sicura dipende dagli script che il tuo sito utilizza davvero. Le intestazioni impostate da JavaScript o all'interno dell'HTML (meta http-equiv) non sono intestazioni di risposta e non compaiono qui.
Domande frequenti
Quali intestazioni di sicurezza dovrebbe inviare ogni sito web?
Come minimo: Strict-Transport-Security sui siti HTTPS, X-Content-Type-Options: nosniff, una regola di framing (X-Frame-Options: SAMEORIGIN o Content-Security-Policy con frame-ancestors) e Referrer-Policy: strict-origin-when-cross-origin. Una Content-Security-Policy e una Permissions-Policy sono il passo successivo. Tutte sono singole righe in Nginx, Apache o nelle impostazioni della tua CDN.
Cosa fa HSTS ed è sicuro abilitarlo?
Strict-Transport-Security dice ai browser di usare HTTPS per il tuo dominio per il tempo indicato, anche quando un link dice http. Ferma gli attacchi di downgrade e risparmia un reindirizzamento. Abilitalo solo quando ogni pagina e sottodominio funziona su HTTPS, inizia con un max-age breve come 300, poi aumentalo a 31536000 (un anno) una volta che sei sicuro.
Le intestazioni di sicurezza influenzano la SEO?
Non direttamente: Google non classifica i siti in base alle intestazioni. Contano per la fiducia e la sicurezza, e HSTS può risparmiare un reindirizzamento. Le intestazioni di cache e compressione influenzano la velocità, che è un fattore di ranking, quindi Cache-Control su file statici e compressione gzip o Brotli vale la pena correggere per primo.
Perché il checker mostra intestazioni diverse dal mio browser?
I server e le CDN variano le intestazioni per richiesta: una sessione autenticata, un user agent mobile, una copia in cache al bordo della CDN o una regione diversa possono tutti cambiarle. La nostra richiesta proviene da un server con un user agent browser desktop e senza cookie, quindi confrontala con una finestra di navigazione privata.
Dovrei nascondere le intestazioni Server e X-Powered-By?
Nascondi almeno i numeri di versione. Annunciare "Apache/2.4.29" o "PHP/7.4" dice agli attaccanti esattamente quali vulnerabilità note provare. Il nome del server da solo è innocuo. In Nginx usa server_tokens off; in Apache ServerTokens Prod; in PHP expose_php = Off rimuove X-Powered-By.