Que montre l'inspecteur d'en-têtes HTTP ?
Collez une URL, cliquez sur Vérifier, et notre serveur parcourt la chaîne de redirections un hop à la fois (jusqu'à 5 hops), enregistre statut, en-têtes et timing de chaque hop, puis note les en-têtes de sécurité de la page finale A à F.
Vous voyez exactement ce qu'un navigateur voit sur le fil : chaque redirection, chaque Set-Cookie, chaque Cache-Control, chaque ligne CORS. Plus une carte sécurité qui vous dit en clair si Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et Permissions-Policy sont posés, plus un point bonus chacun pour avoir caché la version Server et retiré X-Powered-By.
Pour chaque en-tête manquant vous obtenez une ligne de config concrète prête à coller dans nginx, Apache, Express ou votre CDN.
Mode d'emploi
- Collez l'URL complète (par exemple `https://votre-site.fr`). Si vous omettez `https://`, on l'ajoute.
- Cliquez sur Vérifier ou appuyez sur Entrée. Le serveur a 8 secondes par hop et 20 secondes de budget total. Run typique : 200 à 800 ms.
- Lisez la chaîne de redirections de haut en bas : hop 1, hop 2, etc. Chacun montre l'URL, le code de statut (`301`, `302`, `308`) et combien de temps le serveur a pris à répondre.
- Regardez la carte de score de sécurité : une lettre A à F plus un score numérique sur 10. Chaque pilier (HSTS, CSP, ...) est une ligne avec une coche verte ou une croix rouge et un fix d'une ligne.
- Ouvrez Tous les en-têtes de réponse (hop final) pour voir chaque en-tête groupé par Sécurité, Cache, CORS, Server, Autre. Copiez la valeur dont vous avez besoin en un clic.
Quand cet outil est utile
Sept situations du quotidien où vous voulez inspecter vous-même les en-têtes :
- Une nouvelle landing page va en ligne. Vérifiez que la chaîne de redirections est courte (un 301 max) et que HSTS, CSP et X-Content-Type-Options sont en place avant que le marketing pousse l'URL.
- Votre site a eu un B sur securityheaders.com. Utilisez le breakdown pour voir exactement quels deux en-têtes vous ont coûté l'upgrade en A, et copiez les lignes recommandées dans nginx.
- Le cache se comporte bizarrement. Inspectez Cache-Control, ETag, Last-Modified, Vary sur le hop final. Si vous voyez `Cache-Control: no-store` là où vous attendiez `max-age=3600`, vous savez que le CDN/origine retire des en-têtes.
- Erreurs CORS dans le navigateur. Vérifiez Access-Control-Allow-Origin / -Methods / -Headers / -Credentials sur l'endpoint qui échoue. L'inspecteur montre les valeurs serveur exactes, sans acrobaties DevTools.
- Redirection suspecte. Certains outils marketing chaînent 4 à 5 redirections via des domaines de tracking. La liste de hops vous montre chaque étape et le timing par hop, vous pouvez repérer le lent.
- Débogage CDN. Comparez les en-têtes sur l'origine vs l'edge CDN. Des valeurs différentes X-Cache, Age, Server, Via vous disent si le CDN sert depuis le cache ou pulle frais.
- Audit de conformité. Une checklist sécurité demande HSTS preload, pas de X-Powered-By et Permissions-Policy. L'inspecteur confirme ou nie chaque item avec une recommandation copiable.