Analizador de encabezados HTTP gratis
Analizar encabezados HTTP pegados para almacenamiento en caché, directivas de seguridad comunes, CORS, cookies y campos duplicados. Revisa múltiples bloques e informes de exportación con redacción de credenciales opcional.
Cargando herramienta…
Cómo analizar los encabezados de respuesta HTTP sin una exploración en vivo
Pega encabezados HTTP sin procesar o un objeto de encabezado JSON para revisar caché, directivas de seguridad, CORS y atributos de cookies localmente. Exportar un informe sin buscar un sitio web.
- Copiar los encabezados de respuesta de las herramientas de desarrollador de navegador o cURL, luego pegarlos o importar un pequeño archivo de texto.
- Elige Analizar encabezados y selecciona un bloque de respuesta cuando la entrada contiene redirecciones o múltiples respuestas.
- Establece el contexto de respuesta, navegador o audiencia de caché compartida y el tiempo de evaluación en UTC. Revisa los hallazgos y los atributos de las cookies.
- Mantén la redacción secreta reconocida habilitada cuando sea apropiado, revisa la salida y copia o descarga el informe.
Cuándo analizar encabezados que ya tiene
Los encabezados HTTP controlan cómo se guardan las respuestas en caché, qué orígenes pueden leerlas y cómo se comportan las cookies. Un desarrollador que depura una página rancio, un propietario del sitio que revisa un cambio de CDN, o un revisor de seguridad que prepara un informe, pueden usar esta herramienta en encabezados copiados de herramientas de desarrollador de navegador o un comando cURL.
Debido a que sólo funciona en texto pegado, es útil para la puesta en escena de servidores, servicios internos y registros guardados que un escáner público no puede alcanzar. Puede pegar una cadena de redirección y revisar cada bloque de respuesta por separado, o pegar un objeto JSON de nombres de encabezado y valores exportados de otra herramienta.
Ejemplo trabajado: frescura de la caché
Pegar esta respuesta: HTTP/2 200, Fecha: Jueves, 29 de Octubre 2026 12:00:00 GMT, Edad: 30, Cache-Control: público, max-age=600, s-maxage=3600, Content-Type: application/json, X-Content-Type-Options: nosniff y Set-Cookie: sid=abc; Ruta=/; Sólo Http. Configura el contexto a API y la hora de evaluación a 2026-10-29 12:02:00 UTC.
La edad estimada es la mayor del valor de la Edad, 30 segundos, y el tiempo desde el encabezado Fecha, 120 segundos, por lo que es 120 segundos. Para una caché de navegador, la vida útil es de la edad máxima, 600 segundos, lo que deja 480 segundos de frescura. Cambiar la audiencia a CDN o caché compartido y la vida se convierte en s-maxage, 3600 segundos, lo que deja 3480 segundos.
El panel de cookies señala que Secure está ausente y SameSite no es explícito. También aparece una advertencia de almacenamiento en caché compartido y cookies, porque la respuesta es pública y establece una cookie.
Cómo se producen los hallazgos
El analizador divide la entrada en bloques en cada línea de estado, como HTTP/1.1 301, y lee un encabezado por línea. Ignora las líneas diagnósticas de la CURL y cualquier cosa después de una línea en blanco que sigue las cabeceras, con una advertencia. Los nombres de los encabezados se corresponden sin tener en cuenta el caso.
Para los documentos HTML, busca una política de seguridad de contenido, control de framing a través de antecesores de marco o X-Frame-Options, y una política de referencia. Para cada respuesta comprueba las opciones de X-Content-Type, las reglas de la edad máxima de HSTS y CORS. Un ejemplo: Access-Control-Permitir-Origen establecido a un asterisco no se puede combinar con credenciales. Cada hallazgo está etiquetado Presente, Revisión o Información.
Errores comunes a evitar
No pega los encabezados de las solicitudes y espera que se comprueba la respuesta. Un bloque que comienza con una línea de solicitud, como GET / HTTP/1.1, se trata como una solicitud, y se omiten las comprobaciones de respuesta. Copia la sección de respuesta de tus herramientas de desarrollo en su lugar.
Deja fuera el encabezado Fecha y la herramienta no puede estimar la edad de una respuesta es. También tenga cuidado al compartir informes. Redaction oculta valores para nombres reconocidos como Autorización, Cookie, Set-Cookie y campos de token, pero los encabezados personalizados pueden contener secretos. Revisa la exportación antes de enviársela a nadie.
Consejos útiles y limitaciones
- Copiar el bloque de encabezado completo, incluyendo Fecha y Edad al estimar la frescura.
- Un encabezado de seguridad actual puede ser ineficaz o inapropiado para una solicitud.
- Establece el tiempo de evaluación al momento en que se capture la respuesta si está revisando un registro antiguo, por lo que la estimación de frescura coincide con ese momento.
- Cuando pegues una cadena de redireccionamiento, elige cada bloque del menú de bloqueo de encabezado para revisar cada salto, no solo la respuesta final.
Preguntas frecuentes
¿Esta herramienta comprueba las cabeceras de mi sitio web en vivo?
No. Analiza sólo el texto pegado o importado. Nunca obtiene una URL ni verifica una configuración implementada.
¿Por qué son diferentes los resultados de caché de navegador y CDN?
Los cachés compartidos pueden usar s-maxage y deben cumplir con las directivas de respuesta privada. Los cachés de navegador utilizan sus reglas de caché privado aplicables.
¿Significa que no se puede almacenar una respuesta?
No. Generalmente requiere revalidación antes de reutilizar. ninguna tienda instruye a las cachés que no almacenen la respuesta. Es preciso examinar más a fondo las directivas sobre el terreno.
¿Un informe de cabecera limpio demuestra que la aplicación es segura?
No. Las comprobaciones se limitan a patrones comunes de encabezado. El transporte, el comportamiento CSP completo, la lógica de aplicación y las interacciones reales del navegador no se prueban.
¿Puedo pegar encabezados como JSON?
Sí. Usa un objeto de nombres y valores de encabezado, o una matriz de entradas con nombre y valor. Se admite una lista de valores bajo un nombre, como varias líneas Set-Cookie.
¿Qué tan grande puede ser la entrada pegada?
Hasta 200.000 caracteres, 4.000 líneas, 50 bloques y 2.000 encabezados en total. Los archivos importados deben ser más pequeños que 200 KB.
¿Por qué la herramienta advierte sobre las líneas dobladas de cabecera?
Una línea que comienza con el espacio en blanco continúa con el encabezado anterior en un formato antiguo. La herramienta se une al valor anterior y sugiere usar una línea por cabecera.
Su entrada se procesa en tu navegador sin una cuenta ToolWorld Online. Copia o descarga cualquier cosa que quieras guardar antes de salir de la página.
Lee nuestra política de privacidad · Acerca de ToolWorld Online