Co pokazuje inspektor nagłówków HTTP?
Wklej adres, kliknij Sprawdź, a nasz serwer prześledzi łańcuch przekierowań skok po skoku (do 5 hopów), zapisze dla każdego kod statusu, nagłówki i czas, a na końcu wystawi ocenę bezpieczeństwa A-F dla nagłówków finalnej strony.
Widzisz dokładnie to, co widzi przeglądarka po drodze: każdy redirect, każdy Set-Cookie, każdy Cache-Control, każdą linijkę CORS. Plus kartę bezpieczeństwa, która prostym językiem mówi, czy masz Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy i Permissions-Policy, a do tego bonusy za ukrycie wersji Server i usunięcie X-Powered-By.
Dla każdego brakującego nagłówka dostajesz gotową linijkę konfiguracji do wklejenia w nginx, Apache, Express albo na CDN.
Jak używać
- Wklej pełny adres (np. `https://twoja-strona.pl`). Bez `https://` dorobimy go sami.
- Kliknij Sprawdź lub wciśnij Enter. Serwer ma 8 sekund na każdy skok i 20 sekund na całość. Typowo: 200 do 800 ms.
- Przeczytaj łańcuch przekierowań od góry do dołu: skok 1, skok 2, itd. Każdy pokazuje URL, kod statusu (`301`, `302`, `308`) i ile serwer odpowiadał.
- Spójrz na kartę oceny bezpieczeństwa: literka A-F plus wynik liczbowy z 10. Każdy filar (HSTS, CSP, ...) to wiersz z zielonym ptaszkiem lub czerwonym krzyżykiem i jednolinijkową poprawką.
- Otwórz Wszystkie nagłówki odpowiedzi (ostatni skok), żeby zobaczyć każdy nagłówek pogrupowany na Bezpieczeństwo, Cache, CORS, Serwer, Inne. Wartość kopiujesz jednym kliknięciem.
Kiedy się przydaje
Siedem typowych sytuacji, w których chcesz samodzielnie przejrzeć nagłówki:
- Nowa strona idzie na produkcję. Sprawdzasz, czy łańcuch przekierowań jest krótki (max jeden 301) i czy HSTS, CSP, X-Content-Type-Options są ustawione, zanim marketing puści URL.
- Securityheaders.com dał Ci B. Z rozbiciem oceny widzisz, których dwóch nagłówków brakuje do A, i wklejasz polecane linie do nginx.
- Cache działa dziwnie. Patrzysz na Cache-Control, ETag, Last-Modified, Vary na ostatnim hopie. Jeśli widzisz `Cache-Control: no-store` zamiast oczekiwanego `max-age=3600`, wiesz, że CDN albo origin coś usuwa.
- Błędy CORS w przeglądarce. Sprawdzasz Access-Control-Allow-Origin / -Methods / -Headers / -Credentials na pechowym endpointcie. Inspektor pokazuje dokładne wartości serwera, bez grzebania w DevTools.
- Podejrzany redirect. Niektóre narzędzia marketingowe robią po 4 do 5 redirectów przez domeny śledzące. Lista hopów pokazuje każdy krok i czas, więc wyłapiesz tego wolnego.
- Debug CDN. Porównujesz nagłówki na origin i na edge. Różne X-Cache, Age, Server, Via mówią Ci, czy CDN serwuje z cache, czy ciągnie świeże.
- Audyt zgodności. Checklist wymaga HSTS preload, brak X-Powered-By i Permissions-Policy. Inspektor potwierdza albo zaprzecza dla każdego punktu z gotową rekomendacją.