HTTP Header-inspisering

Hva er en HTTP-hoder-inspektor?

HTTP-hoder er metadata sendt mellom nettleseren og serveren med hver forespørsel og respons. De styrer caching, autentisering, innholdstype, sikkerhetspolicyer og mer. Denne inspektoren viser alle responshodene fra en URL, og hjelper utviklere med å diagnostisere ytelse, sikkerhet og konfigurasjons-problemer.

Viktige sikkerhetshoder inkluderer Content-Security-Policy (CSP) som forhindrer XSS-angrep, Strict-Transport-Security (HSTS) som tvinger HTTPS, X-Frame-Options som forhindrer clickjacking, og Permissions-Policy som kontrollerer nettleser-API-tilgang. Manglende sikkerhetshoder er blant de vanligste sårbarhetene i nettapplikasjoner.

Viktige sikkerhetshoder

• Strict-Transport-Security (HSTS) — tvinger nettlesere til å bruke HTTPS for alle fremtidige tilkoblinger.
• Content-Security-Policy (CSP) — kontrollerer hvilke ressurser siden kan laste, forhindrer XSS-angrep.
• X-Content-Type-Options — forhindrer nettlesere fra å gjette innholdstyper, blokkerer visse angrep.
• X-Frame-Options — forhindrer at siden din bygges inn i iframes på andre sider (clickjacking-beskyttelse).
• Referrer-Policy — kontrollerer hvor mye referrer-informasjon som sendes når man navigerer bort fra siden din.

Slik bruker du dette verktøyet

Skriv inn en URL og verktøyet sender en forespørsel og viser alle responshodene. Hodene er kategorisert (sikkerhet, caching, innhold, server) med forklaringer. Manglende anbefalte sikkerhetshoder flagges. Verktøyet viser også statuskoden og omdirigeringskjeden.

Cache-hoder forklart

Cache-Control-hoder bestemmer om og hvor lenge nettlesere og CDN-er lagrer svar. Vanlige direktiver inkluderer max-age (sekunder å cache), no-cache (revalider før bruk av cachet kopi), no-store (aldri cache) og public/private (om delte cacher som CDN-er kan lagre det). Riktig caching forbedrer sidelasthastigheten dramatisk og reduserer serverbelastningen.

Eksempel i praksis

Kjør verktøyet mot https://example.com, og det returnerer et HEAD-svar. Et typisk resultat viser content-type: text/html; charset=utf-8, cache-control: max-age=3600 og en strict-transport-security-linje. Statuspanelet viser 200 ved siden av antall hoder og responstiden. Mangler strict-transport-security i sikkerhetslisten, tvinger ikke nettstedet HTTPS på nettlesernivå — en feil som rettes med én serverlinje.

Vanlige feil

Den største overraskelsen er et tomt resultat selv om nettstedet lastes fint i en nettleser. Årsaken er nesten alltid CORS: et kall på tvers av opphav kan bare lese hoder som serveren eksponerer med Access-Control-Allow-Origin, så de fleste tredjepartsnettsteder returnerer et ugjennomsiktig svar. En annen feil er å se på et manglende x-frame-options som ufarlig — uten det, eller et frame-ancestors-CSP-direktiv, kan siden bygges inn i en clickjacking-ramme.

Ofte stilte spørsmål

Hva betyr HTTP-statuskoder?

200 betyr suksess. 301/302 er omdirigeringer (permanent/midlertidig). 403 betyr forbudt (ingen tilgang). 404 betyr ikke funnet. 500 er intern serverfeil. 503 betyr tjenesten er utilgjengelig. Statuskoden er det første serveren svarer med og bestemmer hvordan nettleseren håndterer responsen.

Hvorfor er sikkerhetshoder viktige?

Sikkerhetshoder gir forsvarslag mot vanlige nettangrep. Uten dem er nettstedet ditt sårbart for cross-site scripting (XSS), clickjacking, MIME-type-forvirring og data som sendes over usikrede forbindelser. Verktøy som Mozilla Observatory og SecurityHeaders.com vurderer nettsteders hoderkonfigurasjoner. En A+-vurdering krever alle anbefalte sikkerhetshoder.

Hvorfor ser jeg ikke alle hodene?

Nettlesere skjuler de fleste svarhodene ved kall på tvers av opphav med mindre serveren tillater det via CORS. Verktøy på tjenersiden som curl -I eller kontrollpanelet hos vertsleverandøren viser hele settet. Dette verktøyet gjenspeiler nøyaktig det klientsidens JavaScript har lov til å lese.