HTTP Header Inspector
Analizza gli HTTP response header di qualsiasi URL. Valuta il punteggio di sicurezza, il tempo di risposta (TTFB) e ottieni raccomandazioni per i security header mancanti.
Ispezione Header
La richiesta viene sempre eseguita con metodo HEAD.
Come utilizzare HTTP Header Inspector
Inserisci l'URL da analizzare
Digita l'URL completo del sito o endpoint da ispezionare (es. https://example.com). Assicurati di includere il protocollo https:// o http://.
Scegli il metodo HTTP
Usa HEAD per recuperare solo gli header senza scaricare il corpo della risposta (più veloce). Usa GET se il server non risponde correttamente alle richieste HEAD.
Analizza i risultati
Visualizza il codice di stato HTTP, gli header di risposta completi, il tempo di risposta (TTFB) e la valutazione di sicurezza con raccomandazioni specifiche per ogni header mancante.
Suggerimenti
- Configura Content-Security-Policy in modalità report-only prima di applicarla in produzione per evitare di rompere funzionalità esistenti.
- Usa il metodo HEAD per test automatici e monitoraggio degli header: è più veloce e non scarica il body della risposta.
Domande frequenti
What are HTTP Security Headers and why are they important?
HTTP Security Headers are server directives sent to the browser to protect users. Content-Security-Policy prevents XSS and injection, Strict-Transport-Security forces HTTPS, X-Frame-Options prevents clickjacking, X-Content-Type-Options blocks MIME sniffing, and Permissions-Policy limits browser API access. Their absence exposes users to common web attacks.
What is Time to First Byte (TTFB) and what acceptable values are?
First byte latency measures the time between an HTTP request and the receipt of the first byte of the response. It includes TCP connection time, TLS handshake, and server processing time. A TTFB under 200ms is excellent, 200-500ms is acceptable, while over 500ms may indicate potential issues with server or network performance.
Why are some security headers missing?
Headers of security must be explicitly configured on the web server (nginx, Apache, Caddy) or in the application framework. Many legacy projects or default configurations do not include them. CDNs like Cloudflare can automatically add some headers. Their absence is common but constitutes a security risk that should be corrected.