HTTP Headers Checker
Este verificador gratuito de cabeçalhos HTTP solicita uma URL e lista todos os cabeçalhos de resposta que o servidor envia: status, tipo de conteúdo, cache, compressão, cookies e os cabeçalhos de segurança. Cada cabeçalho de segurança (HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) é classificado como aprovado, precisa de ajustes ou ausente, com a linha a adicionar. É adequado para desenvolvedores e proprietários de sites.
HTTP Headers Checker
Technical SEO
Sobre esta ferramenta
Os cabeçalhos de resposta são a parte de uma página web que ninguém vê e de que todos dependem. Eles dizem aos navegadores se devem armazenar a página em cache, se ela pode ser enquadrada por outro site, quais scripts podem ser executados, se os cookies estão seguros contra scripts e se devem insistir em HTTPS. Os cabeçalhos de segurança ausentes são a descoberta mais comum em qualquer revisão de segurança de site, e a maioria leva uma linha de configuração do servidor para corrigir.
O verificador solicita a URL do nosso servidor, segue até três redirecionamentos e imprime os cabeçalhos da resposta final exatamente como recebidos, em uma caixa copiável. Em seguida, classifica os que importam: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (ou uma diretiva frame-ancestors), Referrer-Policy, Permissions-Policy, flags de cookie (Secure, HttpOnly, SameSite), Cache-Control, Content-Encoding e as cadeias de versão vazadas por Server e X-Powered-By.
Os cabeçalhos podem diferir por caminho, por dispositivo e se uma CDN serve a página, portanto, verifique as páginas que importam em vez de apenas a página inicial. Uma Content-Security-Policy é classificada como presente ou ausente, não pela força, porque uma política segura depende dos scripts que seu site realmente usa. Os cabeçalhos definidos por JavaScript ou dentro do HTML (meta http-equiv) não são cabeçalhos de resposta e não aparecem aqui.
Perguntas frequentes
Quais cabeçalhos de segurança todo site deve enviar?
No mínimo: Strict-Transport-Security em sites HTTPS, X-Content-Type-Options: nosniff, uma regra de enquadramento (X-Frame-Options: SAMEORIGIN ou Content-Security-Policy com frame-ancestors) e Referrer-Policy: strict-origin-when-cross-origin. Uma Content-Security-Policy e uma Permissions-Policy são o próximo passo. Todos eles são linhas únicas em Nginx, Apache ou nas configurações da sua CDN.
O que HSTS faz e é seguro ativá-lo?
Strict-Transport-Security diz aos navegadores para usar HTTPS no seu domínio pelo tempo indicado, mesmo quando um link diz http. Ele impede ataques de downgrade e economiza um redirecionamento. Ative-o apenas quando todas as páginas e subdomínios funcionam sobre HTTPS, comece com um max-age curto, como 300, depois aumente para 31536000 (um ano) quando tiver certeza.
Os cabeçalhos de segurança afetam o SEO?
Não diretamente: o Google não classifica sites por cabeçalhos. Eles importam para confiança e segurança, e HSTS pode economizar um redirecionamento. Os cabeçalhos de cache e compressão afetam a velocidade, que é um fator de classificação, portanto, Cache-Control em arquivos estáticos e compressão gzip ou Brotli valem a pena corrigir primeiro.
Por que o verificador mostra cabeçalhos diferentes do meu navegador?
Servidores e CDNs variam cabeçalhos por solicitação: uma sessão conectada, um agente de usuário móvel, uma cópia em cache na borda da CDN ou uma região diferente podem mudar tudo. Nossa solicitação vem de um servidor com um agente de usuário de navegador desktop e sem cookies, portanto, compare com uma janela de navegação privada.
Devo ocultar os cabeçalhos Server e X-Powered-By?
Oculte pelo menos os números de versão. Anunciar "Apache/2.4.29" ou "PHP/7.4" diz aos atacantes exatamente quais vulnerabilidades conhecidas tentar. O nome do servidor sozinho é inofensivo. Em Nginx use server_tokens off; em Apache ServerTokens Prod; em PHP expose_php = Off remove X-Powered-By.