HTTP Header-inspisering

Hva er en HTTP-hoder-inspektor?

HTTP-hoder er metadata sendt mellom nettleseren og serveren med hver forespørsel og respons. De styrer caching, autentisering, innholdstype, sikkerhetspolicyer og mer. Denne inspektoren viser alle responshodene fra en URL, og hjelper utviklere med å diagnostisere ytelse, sikkerhet og konfigurasjons-problemer.

Viktige sikkerhetshoder inkluderer Content-Security-Policy (CSP) som forhindrer XSS-angrep, Strict-Transport-Security (HSTS) som tvinger HTTPS, X-Frame-Options som forhindrer clickjacking, og Permissions-Policy som kontrollerer nettleser-API-tilgang. Manglende sikkerhetshoder er blant de vanligste sårbarhetene i nettapplikasjoner.

Viktige sikkerhetshoder

• Strict-Transport-Security (HSTS) — tvinger nettlesere til å bruke HTTPS for alle fremtidige tilkoblinger.
• Content-Security-Policy (CSP) — kontrollerer hvilke ressurser siden kan laste, forhindrer XSS-angrep.
• X-Content-Type-Options — forhindrer nettlesere fra å gjette innholdstyper, blokkerer visse angrep.
• X-Frame-Options — forhindrer at siden din bygges inn i iframes på andre sider (clickjacking-beskyttelse).
• Referrer-Policy — kontrollerer hvor mye referrer-informasjon som sendes når man navigerer bort fra siden din.

Slik bruker du dette verktøyet

Skriv inn en URL og verktøyet sender en forespørsel og viser alle responshodene. Hodene er kategorisert (sikkerhet, caching, innhold, server) med forklaringer. Manglende anbefalte sikkerhetshoder flagges. Verktøyet viser også statuskoden og omdirigeringskjeden.

Cache-hoder forklart

Cache-Control-hoder bestemmer om og hvor lenge nettlesere og CDN-er lagrer svar. Vanlige direktiver inkluderer max-age (sekunder å cache), no-cache (revalider før bruk av cachet kopi), no-store (aldri cache) og public/private (om delte cacher som CDN-er kan lagre det). Riktig caching forbedrer sidelasthastigheten dramatisk og reduserer serverbelastningen.

Ofte stilte spørsmål

Hva betyr HTTP-statuskoder?

200 betyr suksess. 301/302 er omdirigeringer (permanent/midlertidig). 403 betyr forbudt (ingen tilgang). 404 betyr ikke funnet. 500 er intern serverfeil. 503 betyr tjenesten er utilgjengelig. Statuskoden er det første serveren svarer med og bestemmer hvordan nettleseren håndterer responsen.

Hvorfor er sikkerhetshoder viktige?

Sikkerhetshoder gir forsvarslag mot vanlige nettangrep. Uten dem er nettstedet ditt sårbart for cross-site scripting (XSS), clickjacking, MIME-type-forvirring og data som sendes over usikrede forbindelser. Verktøy som Mozilla Observatory og SecurityHeaders.com vurderer nettsteders hoderkonfigurasjoner. En A+-vurdering krever alle anbefalte sikkerhetshoder.