Проверка HTTP-заголовков страницы

Зачем проверять HTTP-заголовки страницы?

Что такое HTTP-заголовки ответа

Каждый ответ сервера сопровождается набором служебных заголовков, невидимых в браузере напрямую: тип контента (Content-Type), политика кеширования (Cache-Control), сведения о сервере (Server, X-Powered-By) и заголовки безопасности. Эти данные влияют на то, как страницу обрабатывают браузеры, краулеры и CDN — независимо от видимого HTML-контента.

Security-заголовки и их значение

Strict-Transport-Security (HSTS) заставляет браузер всегда обращаться к сайту по HTTPS, даже если пользователь ввёл http://. X-Frame-Options и директива frame-ancestors в Content-Security-Policy защищают от clickjacking — встраивания сайта в чужой iframe. X-Content-Type-Options: nosniff запрещает браузеру угадывать тип контента, что закрывает ряд MIME-based атак. Отсутствие этих заголовков — не критическая SEO-ошибка, но заметный технический недочёт, который проверяют аудиторы безопасности.

Cache-Control и производительность

Заголовок Cache-Control определяет, может ли браузер или CDN сохранить копию страницы и на какой срок. Некорректная настройка — частая причина, когда пользователи видят устаревшую версию страницы после обновления, либо наоборот, статические ресурсы (CSS, JS, изображения) без кеширования лишний раз замедляют повторные визиты.

Что выдают заголовки Server и X-Powered-By

Эти заголовки раскрывают технологический стек сайта (версию веб-сервера, PHP и т.д.) — потенциально полезную информацию для злоумышленника при подборе известных уязвимостей конкретной версии. Многие практики технического аудита рекомендуют скрывать или обезличивать эти заголовки на продакшене.

Развернуть все

Часто задаваемые вопросы

Какие HTTP-заголовки показывает ваш инструмент проверки заголовков страницы?

Инструмент загружает указанную страницу и выводит полный список HTTP-заголовков ответа сервера, включая Content-Type, Cache-Control, Server, X-Powered-By, а также security-заголовки: Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Content-Security-Policy и Referrer-Policy.

Как проверить, установлены ли security-заголовки (HSTS, X-Frame-Options) на моём сайте?

Вставьте URL вашей страницы в инструмент «Проверка HTTP-заголовков страницы» на /positions-check/check-http-headers/. После загрузки вы увидите все переданные сервером заголовки, включая Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options и Content-Security-Policy, если они настроены.

Этот инструмент бесплатный и требует ли он регистрации?

Да, инструмент полностью бесплатный и не требует регистрации или авторизации для использования. Вы можете сразу ввести URL и получить результаты.

Показывает ли инструмент только основные заголовки или все, включая Server и X-Powered-By?

Инструмент выводит полный список HTTP-заголовков ответа сервера, включая служебные заголовки Server и X-Powered-By, а также заголовки кэширования (Cache-Control), типа контента (Content-Type) и все security-заголовки, которые присутствуют в ответе.