¿Qué muestra el inspector de cabeceras HTTP?
Pega una URL, pulsa Comprobar y nuestro servidor recorre la cadena de redirecciones salto a salto (hasta 5 saltos), registra el código de estado, las cabeceras y los tiempos de cada salto, luego puntúa las cabeceras de seguridad de la página final de A a F.
Ves exactamente lo que ve un navegador en el cable: cada redirección, cada Set-Cookie, cada Cache-Control, cada línea CORS. Más una tarjeta de seguridad que te dice en lenguaje claro si Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy están configurados, más un punto extra cada uno por ocultar la versión del Server y eliminar X-Powered-By.
Para cada cabecera ausente obtienes una línea de configuración concreta lista para pegar en nginx, Apache, Express o tu CDN.
Cómo usarlo
- Pega la URL completa (p. ej. `https://tu-sitio.com`). Si omites `https://`, lo añadimos.
- Pulsa Comprobar o Enter. El servidor tiene 8 segundos por salto y 20 segundos de presupuesto total. Ejecución típica: 200-800 ms.
- Lee la cadena de redirecciones de arriba abajo: salto 1, salto 2, etc. Cada uno muestra la URL, el código de estado (`301`, `302`, `308`) y cuánto tardó el servidor en responder.
- Mira la tarjeta de puntuación de seguridad: una letra de A a F más una puntuación numérica sobre 10. Cada pilar (HSTS, CSP, ...) es una fila con un check verde o una cruz roja y un arreglo de una línea.
- Abre Todas las cabeceras de respuesta (último salto) para ver cada cabecera agrupada por Seguridad, Caché, CORS, Servidor, Otros. Copia el valor que necesites con un clic.
Cuándo es útil
Siete situaciones del día a día en las que quieres inspeccionar las cabeceras tú mismo:
- Una nueva landing va a producción. Verifica que la cadena de redirecciones es corta (un 301 máximo) y que HSTS, CSP y X-Content-Type-Options están puestos antes de que marketing publique la URL.
- Tu sitio sacó una B en securityheaders.com. Usa el desglose para ver exactamente qué dos cabeceras te impiden subir a A, y copia las líneas recomendadas en nginx.
- El cacheo se comporta raro. Inspecciona Cache-Control, ETag, Last-Modified, Vary en el último salto. Si ves `Cache-Control: no-store` donde esperabas `max-age=3600`, sabes que el CDN/origen está quitando cabeceras.
- Errores CORS en el navegador. Comprueba Access-Control-Allow-Origin / -Methods / -Headers / -Credentials en el endpoint que falla. El inspector muestra los valores exactos del servidor, sin acrobacias de DevTools.
- Redirección sospechosa. Algunas herramientas de marketing encadenan 4-5 redirecciones a través de dominios de tracking. La lista de saltos te muestra cada paso y el tiempo por salto, para que detectes el lento.
- Depuración de CDN. Compara cabeceras en origen vs edge del CDN. Valores distintos de X-Cache, Age, Server, Via te dicen si el CDN está sirviendo desde caché o tirando fresco.
- Auditoría de cumplimiento. Un checklist de seguridad exige HSTS preload, sin X-Powered-By y con Permissions-Policy. El inspector confirma o niega cada elemento con una recomendación copiable.