वेब टूल / 07

HTTP हेडर्स चेकर

किसी URL के अंतिम response headers पढ़ें और आम ब्राउज़र सुरक्षा नीतियों की पहचान करें।

HTTP हेडर्स चेकर: TOEA HTTP redirects का अनुसरण करता है और अंतिम response headers की सूची दिखाता है। मौजूद होने पर Content Security Policy, HSTS, framing, referrer, permissions और MIME-sniffing controls को प्रमुखता से दिखाया जाता है। मांग पर सुरक्षित रूप से प्रोसेस किया जाता है।

श्रेणी
वेब टूल्स
रन
TOEA के सर्वर पर
लागत
मुफ़्त · साइन अप की ज़रूरत नहीं
उपलब्धता
इस्तेमाल के लिए तैयार
रिस्पॉन्स हेडर डेस्कसुरक्षित सार्वजनिक URL जाँच

अंतिम रिस्पॉन्स हेडर पढ़ता है और सामान्य ब्राउज़र सुरक्षा नीतियों को हाइलाइट करता है।

Security headers के लिए उचित values

Strict-Transport-Security: max-age=31536000; includeSubDomains ब्राउज़र को एक साल तक HTTPS इस्तेमाल करने के लिए बाध्य करता है; includeSubDomains तभी जोड़ें जब हर सबडोमेन वैध प्रमाणपत्र के साथ HTTPS पर चलता हो, जिसकी SSL चेकर नाम-दर-नाम पुष्टि करता है। X-Content-Type-Options: nosniff का केवल एक मान्य मान है। Referrer-Policy: strict-origin-when-cross-origin ब्राउज़र का डिफ़ॉल्ट है और दूसरी साइटों को केवल आपका डोमेन भेजता है। X-Frame-Options: DENY दूसरी साइटों को आपके पेज फ़्रेम करने से रोकता है; इसका आधुनिक समकक्ष Content Security Policy में frame-ancestors 'none' है।

Content Security Policy का परिचय

CSP यह बताती है कि स्क्रिप्ट, स्टाइल, इमेज और फ़्रेम किन जगहों से लोड हो सकते हैं, और सख्त CSP ऐसे किसी भी पेज को तोड़ देती है जो इसमें सूचीबद्ध न की गई चीज़ लोड करता है। पहले इसे Content-Security-Policy-Report-Only के रूप में लागू करें: ब्राउज़र उल्लंघनों की रिपोर्ट कंसोल में या आपके बताए एंडपॉइंट पर भेजते हैं, लेकिन किसी चीज़ को ब्लॉक नहीं करते। रिपोर्ट आना बंद होने तक नीति को सख्त करें, फिर लागू करने वाले हेडर पर स्विच करें। CDN या प्रॉक्सी द्वारा सेट किए गए हेडर यहां आपके सर्वर के हेडर के साथ दिखाई देते हैं, इसलिए आपके द्वारा हटाया गया हेडर अपस्ट्रीम में फिर से जोड़ा जा सकता है।

इस्तेमाल करने का तरीका

  1. किसी सार्वजनिक पेज या resource का URL दर्ज करें।
  2. हेडर्स पढ़ें चुनें।
  3. पूरी हेडर सूची और सामान्य सुरक्षा-नीति सारांश देखें।

गोपनीयता और सीमाएँ

URL की जाँच TOEA के API के माध्यम से की जाती है और इसे सहेजा नहीं जाता। परिणाम में Set-Cookie और proxy authentication header values को छिपा दिया जाता है।

संबंधित टूल्स

HTTP स्टेटसरीडायरेक्ट चेकरSSL चेकर

अक्सर पूछे जाने वाले सवाल

क्या किसी header का न होना हमेशा vulnerability का मतलब है?

नहीं। सही नीतियाँ content और deployment पर निर्भर करती हैं। यह सारांश केवल एक inventory है, security certification नहीं।

redirects के बाद कौन-सा response दिखाया जाता है?

सूची में अंतिम response के headers दिखाए जाते हैं।

मुफ़्त टूल · toea के सर्वर पर बार चलता है · अकाउंट की ज़रूरत नहीं