ตรวจสอบ HTTP Header
ดึงข้อมูลและแสดง HTTP response header ที่ส่งกลับจากเซิร์ฟเวอร์ในทันที
เครื่องมือที่เหมาะสำหรับการตรวจสอบการตั้งค่าแคชและ header ความปลอดภัย
ผลลัพธ์ Response Header
| ชื่อ Header | ค่า |
|---|
เกี่ยวกับเครื่องมือ
HTTP header คือ "ข้อมูลการตั้งค่าเบื้องหลัง" ที่สื่อสารกันระหว่างเว็บเบราว์เซอร์และเว็บเซิร์ฟเวอร์ เครื่องมือนี้จะแสดงภาพว่า response header ใดที่เซิร์ฟเวอร์ส่งกลับมาสำหรับ URL ที่ระบุ
มีประโยชน์มากในการตรวจสอบการตั้งค่าการควบคุมแคช (Cache-Control), header ที่เกี่ยวข้องกับความปลอดภัย (Strict-Transport-Security ฯลฯ) และข้อมูลประเภทของเว็บเซิร์ฟเวอร์ นอกจากนี้ยังเหมาะอย่างยิ่งสำหรับการดีบัก API
วิธีใช้งาน
ป้อน URL
ป้อน URL แบบเต็มของหน้าที่คุณต้องการตรวจสอบ (ขึ้นต้นด้วย http:// หรือ https://) ลงในช่องป้อนข้อมูล
ดำเนินการตรวจสอบ
คลิกปุ่ม "ตรวจสอบ Header" ในเบื้องหลัง เซิร์ฟเวอร์ของเครื่องมือจะเริ่มการเชื่อมต่อกับ URL เป้าหมายเพื่อดึงข้อมูลเฉพาะ header อย่างรวดเร็ว
วิเคราะห์ผลลัพธ์
หลังจากรอสักครู่ รายการ HTTP header ที่ส่งกลับจากเซิร์ฟเวอร์จะแสดงในรูปแบบตาราง ตรวจสอบให้แน่ใจว่าการตั้งค่าความปลอดภัยและแคชถูกต้อง
อภิธานศัพท์
- Cache-Control
- Header ที่กำหนดระยะเวลาและเงื่อนไขสำหรับเบราว์เซอร์หรือ CDN ในการแคชเนื้อหา นี่คือการตั้งค่าที่สำคัญมากซึ่งส่งผลต่อความเร็วในการโหลดหน้าเว็บและภาระของเซิร์ฟเวอร์
- Content-Type
- ระบุประเภทสื่อ (MIME type) และการเข้ารหัสอักขระ ซึ่งบอกว่าข้อมูลที่ส่งกลับมาเป็น HTML, รูปภาพ หรือรูปแบบอื่นๆ
- Server
- มีข้อมูลซอฟต์แวร์ (Apache, nginx ฯลฯ) และเวอร์ชันของเว็บเซิร์ฟเวอร์ที่ประมวลผล request บางครั้งจะถูกซ่อนไว้เพื่อเหตุผลด้านความปลอดภัย
- Strict-Transport-Security (HSTS)
- Header ความปลอดภัยที่บังคับให้เบราว์เซอร์เชื่อมต่อกับเว็บไซต์ผ่าน HTTPS เสมอ ช่วยป้องกันการโจมตีแบบ man-in-the-middle ได้อย่างมีประสิทธิภาพ
- X-Frame-Options
- ควบคุมว่าเนื้อหาของหน้าเว็บได้รับอนุญาตให้ฝังอยู่ในแท็ก <iframe> บนหน้าอื่นหรือไม่ มีประสิทธิภาพในการป้องกันการโจมตีแบบ clickjacking
- Content-Security-Policy (CSP)
- Header ความปลอดภัยที่มีประสิทธิภาพอย่างยิ่ง ซึ่งจำกัดแหล่งที่มา (sources) ที่อนุญาตให้โหลดทรัพยากร (สคริปต์ รูปภาพ ฯลฯ) สามารถลดความเสี่ยงจากการถูกโจมตีด้วย XSS ได้อย่างมาก
- CORS (Cross-Origin Resource Sharing)
- กลไกสำหรับการแชร์ทรัพยากรข้ามโดเมน (origin) ที่แตกต่างกัน Header เช่น Access-Control-Allow-Origin ใช้เพื่อระบุโดเมนที่ได้รับอนุญาตให้เข้าถึง
- Set-Cookie
- Header ที่เซิร์ฟเวอร์ใช้เพื่อสั่งให้เบราว์เซอร์จัดเก็บคุกกี้ มักใช้สำหรับจัดการเซสชัน (session) และติดตามผู้ใช้
คำถามที่พบบ่อย (FAQ)
- Q.ทำไมผลลัพธ์ถึงแตกต่างจาก header ที่ฉันเห็นบนเบราว์เซอร์ของฉัน?
- เครื่องมือนี้ส่ง request จากเซิร์ฟเวอร์ของเรา ซึ่งหมายความว่ามันเข้าถึง URL ภายใต้เงื่อนไข (User-Agent, คุกกี้ ฯลฯ) ที่แตกต่างจากสภาพแวดล้อมเบราว์เซอร์ในเครื่องของคุณ ดังนั้นหากเซิร์ฟเวอร์เปลี่ยนแปลง header ตามสภาพแวดล้อม ผลลัพธ์อาจแตกต่างกัน
- Q.ฉันควรใช้เครื่องมือนี้เมื่อใด?
- คุณสามารถใช้เพื่อตรวจสอบว่าการตั้งค่าแคชถูกนำไปใช้อย่างถูกต้องเพื่อเพิ่มประสิทธิภาพเว็บไซต์ หรือเพื่อตรวจสอบว่า header ความปลอดภัยที่จำเป็นได้ถูกส่งออกมาระหว่างการตรวจสอบความปลอดภัยหรือไม่
- Q.ข้อมูลของฉันถูกบันทึกไว้บนเซิร์ฟเวอร์หรือไม่?
- ไม่ เซิร์ฟเวอร์ของเราทำหน้าที่เป็นเพียงพร็อกซีเพื่อสืบค้น URL เป้าหมายเท่านั้น ทั้งประวัติการค้นหาและ URL ที่คุณป้อนจะไม่ถูกบันทึกไว้บนเซิร์ฟเวอร์ของเรา
- Q.จะเกิดอะไรขึ้นหากไม่มีการตั้งค่า header ความปลอดภัย?
- เว็บไซต์ของคุณอาจไม่ได้ถูกแฮ็กในทันที แต่มันจะเสี่ยงต่อการถูกโจมตีจากช่องโหว่ เช่น XSS และ Clickjacking ได้ง่ายขึ้น ขอแนะนำอย่างยิ่งให้ตั้งค่า โดยเฉพาะเว็บไซต์ที่จัดการกับข้อมูลส่วนบุคคล
- Q.ข้อควรระวังในการตั้งค่า HSTS (Strict-Transport-Security) คืออะไร?
- เมื่อเปิดใช้งาน HSTS เบราว์เซอร์ของผู้ใช้จะถูกบังคับให้เข้าถึงผ่าน HTTPS ในช่วงเวลา (max-age) ที่ระบุ หากการตั้งค่าใบรับรอง SSL มีข้อผิดพลาด มีความเสี่ยงที่เว็บไซต์จะไม่สามารถเข้าถึงได้อย่างสิ้นเชิงในช่วงเวลานี้ ดังนั้นจึงแนะนำให้ทดสอบด้วยระยะเวลาสั้นๆ ก่อน
- Q.วิธีที่ถูกต้องในการตั้งค่า cache header คืออะไร?
- แนวทางปฏิบัติที่ดีที่สุดคือการตั้งค่าเวลาหมดอายุที่ยาวนาน (เช่น 1 ปี) โดยใช้ Cache-Control สำหรับทรัพยากรแบบคงที่ เช่น รูปภาพและ CSS และตั้งค่า "no-cache" สำหรับไฟล์ HTML ที่มีการอัปเดตบ่อยครั้งเพื่อให้เบราว์เซอร์สืบค้นจากเซิร์ฟเวอร์ใหม่เสมอ
กรณีการใช้งาน
- 🔍
ตรวจสอบ SEO และการเปลี่ยนทาง (Redirect)
ตรวจสอบว่าการเปลี่ยนทาง 301/302 ได้รับการกำหนดค่าอย่างถูกต้องและส่งคืนรหัสสถานะที่เหมาะสมหรือไม่
- 🛡️
ตรวจสอบ Header ความปลอดภัย
ตรวจสอบว่า HTTP header ที่จำเป็นสำหรับความปลอดภัย (เช่น HSTS) ถูกส่งออกอย่างถูกต้องหรือไม่
ส่งความคิดเห็น
โปรดแจ้งให้เราทราบความคิดเห็นของคุณเพื่อช่วยปรับปรุงเครื่องมือ
การส่งความคิดเห็นถูกระงับชั่วคราว
เซิร์ฟเวอร์ไม่ว่างหรือระบบป้องกันสแปมทำงานอยู่ โปรดลองอีกครั้งในภายหลัง