在线免费HTTP头部检查器
分析HTTP响应头并审计服务器安全性。
Paste raw HTTP response headers below. Get them by running curl -I https://example.com in your terminal.
Who uses the HTTP头部检查器?
- 通过粘贴 curl 输出对 Web 应用响应标头进行快速合规检查的安全工程师。
- 在部署后验证缓存控制和 CDN 标头配置是否正确的 DevOps 工程师。
- 学习应在服务器配置中添加哪些安全标头的 Web 开发者。
How the HTTP头部检查器 works
在终端中运行 `curl -I https://example.com`（或从浏览器的网络标签页复制响应头），然后将原始输出粘贴到文本区域。
点击“Analyze Headers”，根据固定的一组安全和重要标头类别检查每个标头。
查看彩色核对清单：7 个受监控安全标头中每一个都用绿色对勾（存在）或红色叉号（缺失）标记。
向下滚动到下方的完整标头表格，查看所有找到的标头，按字母顺序排列并按类别着色。
Tips & tricks
- 没有实时 URL 抓取功能——您必须粘贴原始标头文本；占位符文本展示了获取它的确切 `curl -I` 命令。
- 没有可展开的文档面板——安全标头核对清单只是显示存在/缺失以及内联的值，因此请参考下方的常见问题，了解每个标头应该包含什么内容。
- 如果粘贴的第一行是状态行（HTTP/2 200 等），工具会解析它，并根据状态码范围将其着色为绿色/琥珀色/红色。
- 安全核对清单下方的完整标头表格按字母顺序排序，并将安全标头高亮为绿色，其他常见标头（content-type、cache-control、etag 等）则使用您的强调色。
Frequently Asked Questions
我可以直接输入 URL 而不是粘贴标头吗？
不可以——此工具只解析您粘贴的原始文本。请先在终端中用 `curl -I https://example.com` 获取标头，或从浏览器 DevTools 的网络标签页复制，然后将结果粘贴到这里。
这个工具检查哪些 HTTP 安全标头？
七个标头：Strict-Transport-Security（HSTS）、Content-Security-Policy（CSP）、X-Content-Type-Options、X-Frame-Options、X-XSS-Protection、Referrer-Policy 和 Permissions-Policy。每个标头都会标记为存在或缺失，如果存在则显示其值。
什么是 Strict-Transport-Security（HSTS）标头？
HSTS 告诉浏览器始终对您的域名使用 HTTPS。建议：Strict-Transport-Security: max-age=31536000; includeSubDomains; preload。preload 指令会将您提交到浏览器的 HSTS 预加载列表，以获得最大保护。
Content-Security-Policy（CSP）能防范什么？
CSP 通过指定允许的脚本、样式、图片及其他资源来源，防止 XSS（跨站脚本）攻击。严格的 CSP 是防御注入攻击最有效的手段之一。
Cache-Control 标头是如何工作的？
Cache-Control: max-age=31536000 告诉浏览器将资源缓存 1 年。no-cache 表示在使用缓存副本之前需要与服务器重新验证。no-store 表示永不缓存。对于带哈希文件名的静态资源，使用较长的 max-age；对于 HTML，使用 no-cache。
Is my data safe when using the HTTP头部检查器?
Completely safe. The HTTP头部检查器 processes everything locally in your browser. No input data, results, or usage information is ever transmitted to or stored on any server.
How current is the data returned by the HTTP头部检查器?
The HTTP头部检查器 fetches live data in real time each time you run it. Results reflect the current state of the server or domain at the moment of the request.
Why does the HTTP头部检查器 sometimes return different results than other tools?
Results depend on the real-time state of the target server and DNS propagation, which can vary by geographic region and caching TTL. If you see inconsistencies, wait a few minutes and re-test — DNS changes can take up to 48 hours to propagate fully worldwide.