HTTP fejléc vizsgáló

Mik a HTTP-fejlécek?

A HTTP-fejlécek metaadatok, amelyeket a kliens (böngésző) és a szerver minden webes kéréssel és válasszal cserélnek. Szabályozzák a gyorsítótárazást, a hitelesítést, a tartalomtípust, a biztonsági irányelveket és a web-kommunikáció számos más aspektusát. Ez az eszköz lehetővé teszi, hogy bármely URL által visszaadott válaszfejléceket megvizsgálja, segítve a webalkalmazások hibakeresését és a biztonsági konfigurációk ellenőrzését.

A fejlécek kulcs-érték párok, amelyeket a tényleges oldaltartalom előtt küldenek el. Általános válaszfejlécek: Content-Type (milyen típusú adat kerül küldésre), Cache-Control (mennyi ideig kell gyorsítótárazni a választ), Set-Cookie (munkamenet-adatok tárolása) és különböző biztonsági fejlécek, mint a Content-Security-Policy és a Strict-Transport-Security.

Fontos biztonsági fejlécek

• Strict-Transport-Security (HSTS) – kényszeríti a böngészőket HTTPS használatára az összes jövőbeni kapcsolathoz.
• Content-Security-Policy (CSP) – szabályozza, milyen erőforrásokat tölthet be az oldal, megakadályozva az XSS-támadásokat.
• X-Content-Type-Options – megakadályozza, hogy a böngészők kitalálják a tartalomtípusokat, blokkolva bizonyos támadásokat.
• X-Frame-Options – megakadályozza, hogy az oldala más webhelyeken iframe-ekbe legyen ágyazva (clickjacking-védelem).
• Referrer-Policy – szabályozza, mennyi hivatkozó információt küldenek el, amikor a látogatók elhagyják az oldalt.

Az eszköz használata

Adjon meg egy URL-t, és az eszköz lekéri az oldalt, és megjeleníti az összes válaszfejlécet. A biztonság szempontjából releváns fejlécek ki vannak emelve és kiértékelve. A hiányzó ajánlott biztonsági fejlécek meg vannak jelölve, hogy javíthassa webhelye biztonsági konfigurációját.

A gyorsítótár-fejlécek magyarázata

A Cache-Control fejlécek meghatározzák, hogy a böngészők és a CDN-ek hogyan és mennyi ideig tárolják a válaszokat. Általános direktívák: max-age (gyorsítótárazás ideje másodpercben), no-cache (gyorsítótárazott példány használata előtt újra ellenőrizni), no-store (soha ne gyorsítótárazza), és public/private (a CDN-ekhez hasonló megosztott gyorsítótárak tárolhatják-e). A megfelelő gyorsítótárazás drámaian javítja az oldalak betöltési sebességét és csökkenti a szerver terhelését.

Gyakran ismételt kérdések

Miért érdemes HTTP-fejléceket ellenőrizni?

A fejlécek biztonsági helytelen konfigurációkat (hiányzó HSTS vagy CSP), gyorsítótárazási problémákat (helytelen max-age elavult tartalmat okoz) és szerveres információszivárgásokat (a Server fejléc a szoftver pontos verzióját árulja el) tárnak fel. A fejlécek rendszeres ellenőrzése segít fenntartani a biztonságot és a teljesítményt. A biztonsági ellenőrző eszközök és a penetrációs tesztelők mindig a fejlécek elemzésével kezdik.

Mi a különbség a kérési és a válaszfejlécek között?

A kérési fejléceket a böngésző küldi a szervernek (pl. Accept, User-Agent, Cookie). A válaszfejléceket a szerver küldi vissza a böngészőnek (pl. Content-Type, Set-Cookie, Cache-Control). Ez az eszköz a válaszfejléceket mutatja, mert ezek tárják fel a szerver konfigurációját és biztonsági beállításait. A kérési fejléceket a böngésző fejlesztői eszközeiben tekintheti meg (Hálózat lap).