Tại sao kết quả khác với header tôi thấy trên trình duyệt của mình?

Công cụ này gửi request từ máy chủ của chúng tôi, nghĩa là nó truy cập URL dưới các điều kiện (User-Agent, cookie...) khác với môi trường trình duyệt local của bạn. Do đó, nếu máy chủ thay đổi header dựa trên môi trường, kết quả có thể khác nhau.

Khi nào tôi nên sử dụng công cụ này?

Bạn có thể dùng nó để xác minh xem cài đặt cache có được áp dụng đúng để tối ưu hiệu suất web không, hoặc để kiểm tra xem các header bảo mật cần thiết đã được xuất ra trong quá trình audit bảo mật chưa.

Dữ liệu của tôi có bị lưu trên máy chủ không?

Không. Máy chủ của chúng tôi chỉ đóng vai trò như một proxy để truy vấn URL mục tiêu. Cả lịch sử tìm kiếm lẫn URL bạn nhập đều không bị lưu lại trên máy chủ của chúng tôi.

Chuyện gì xảy ra nếu không cài đặt header bảo mật?

Website của bạn không bị hack ngay lập tức, nhưng nó sẽ dễ bị tấn công bởi các lỗ hổng như XSS và Clickjacking hơn. Rất khuyến khích thiết lập chúng, đặc biệt với các trang xử lý thông tin cá nhân.

Cần chú ý gì khi thiết lập HSTS (Strict-Transport-Security)?

Một khi HSTS được bật, trình duyệt của người dùng sẽ bị bắt buộc truy cập qua HTTPS trong khoảng thời gian (max-age) đã chỉ định. Nếu cấu hình chứng chỉ SSL bị lỗi, có nguy cơ trang web sẽ hoàn toàn không thể truy cập được trong thời gian này. Do đó, nên thử nghiệm với khoảng thời gian ngắn trước.

Cách thiết lập cache header đúng là gì?

Thực hành tốt nhất là thiết lập thời gian hết hạn dài (ví dụ: 1 năm) bằng Cache-Control cho các tài nguyên tĩnh như hình ảnh và CSS, và đặt "no-cache" cho các file HTML thường xuyên cập nhật để trình duyệt luôn truy vấn lại từ máy chủ.

🔒

http header,

Kiểm Tra HTTP Header

Truy xuất và hiển thị ngay lập tức các HTTP response header trả về từ máy chủ.
Công cụ lý tưởng để kiểm tra cài đặt cache và header bảo mật.

⚡

Kiểm Tra Tức Thì

Chỉ cần nhập URL

📋

Hiển Thị Đầy Đủ

Liệt kê tất cả response header

🆓

Không Cần Đăng Ký

Sử dụng hoàn toàn miễn phí

Bạn cũng có thể thích

🚦

Trình kiểm tra mã trạng thái HTTP

🔐

Trình kiểm tra chứng chỉ SSL

📡

Trình kiểm tra bản ghi DNS

about,

Giới thiệu

HTTP header là "thông tin cấu hình ẩn" được trao đổi giữa trình duyệt Web và máy chủ Web. Công cụ này trực quan hóa các response header mà máy chủ đang trả về cho URL được chỉ định.

Nó rất hữu ích để xác minh các cài đặt kiểm soát bộ nhớ cache (Cache-Control), các header liên quan đến bảo mật (Strict-Transport-Security, v.v.) và thông tin loại máy chủ Web. Công cụ cũng lý tưởng để gỡ lỗi API.

how to,

Cách sử dụng

BƯỚC 1

Nhập URL

Nhập URL đầy đủ của trang bạn muốn kiểm tra (bắt đầu bằng http:// hoặc https://) vào ô nhập liệu.

BƯỚC 2

Thực Hiện Kiểm Tra

Nhấn nút "Kiểm Tra Header". Ở phía sau, máy chủ của công cụ sẽ bắt đầu kết nối với URL mục tiêu để chỉ lấy thông tin header một cách nhanh nhất.

BƯỚC 3

Phân Tích Kết Quả

Sau một lúc chờ đợi, danh sách các HTTP header trả về từ máy chủ sẽ được hiển thị dưới dạng bảng. Hãy đảm bảo rằng các cài đặt bảo mật và cache đều đúng chuẩn.

glossary,

Thuật ngữ

Cache-Control: Header quy định thời gian và điều kiện để trình duyệt hoặc CDN lưu trữ nội dung vào bộ nhớ cache. Đây là thiết lập rất quan trọng đối với tốc độ tải trang và tải máy chủ.
Content-Type: Xác định loại phương tiện (MIME type) và bảng mã ký tự, cho biết dữ liệu trả về là HTML, hình ảnh hay định dạng nào khác.
Server: Chứa thông tin phần mềm (Apache, nginx...) và phiên bản của máy chủ Web đã xử lý request. Đôi khi bị ẩn đi vì lý do bảo mật.
Strict-Transport-Security (HSTS): Header bảo mật bắt buộc trình duyệt luôn kết nối với website qua đường truyền HTTPS. Giúp chống lại tấn công man-in-the-middle hiệu quả.
X-Frame-Options: Kiểm soát xem nội dung của trang có được phép nhúng vào thẻ <iframe> trên trang khác hay không. Hiệu quả để chống lại các cuộc tấn công clickjacking.
Content-Security-Policy (CSP): Một header bảo mật cực kỳ mạnh mẽ, hạn chế các nguồn (sources) được phép tải tài nguyên (script, hình ảnh...). Có thể giảm thiểu đáng kể rủi ro bị tấn công XSS.
CORS (Cross-Origin Resource Sharing): Cơ chế chia sẻ tài nguyên giữa các tên miền (origin) khác nhau. Các header như Access-Control-Allow-Origin được dùng để chỉ định các tên miền được phép truy cập.
Set-Cookie: Header được máy chủ sử dụng để yêu cầu trình duyệt lưu trữ cookie. Thường dùng để quản lý phiên đăng nhập (session) và theo dõi người dùng.

faq,

FAQ

Q.Tại sao kết quả khác với header tôi thấy trên trình duyệt của mình?: Công cụ này gửi request từ máy chủ của chúng tôi, nghĩa là nó truy cập URL dưới các điều kiện (User-Agent, cookie...) khác với môi trường trình duyệt local của bạn. Do đó, nếu máy chủ thay đổi header dựa trên môi trường, kết quả có thể khác nhau.
Q.Khi nào tôi nên sử dụng công cụ này?: Bạn có thể dùng nó để xác minh xem cài đặt cache có được áp dụng đúng để tối ưu hiệu suất web không, hoặc để kiểm tra xem các header bảo mật cần thiết đã được xuất ra trong quá trình audit bảo mật chưa.
Q.Dữ liệu của tôi có bị lưu trên máy chủ không?: Không. Máy chủ của chúng tôi chỉ đóng vai trò như một proxy để truy vấn URL mục tiêu. Cả lịch sử tìm kiếm lẫn URL bạn nhập đều không bị lưu lại trên máy chủ của chúng tôi.
Q.Chuyện gì xảy ra nếu không cài đặt header bảo mật?: Website của bạn không bị hack ngay lập tức, nhưng nó sẽ dễ bị tấn công bởi các lỗ hổng như XSS và Clickjacking hơn. Rất khuyến khích thiết lập chúng, đặc biệt với các trang xử lý thông tin cá nhân.
Q.Cần chú ý gì khi thiết lập HSTS (Strict-Transport-Security)?: Một khi HSTS được bật, trình duyệt của người dùng sẽ bị bắt buộc truy cập qua HTTPS trong khoảng thời gian (max-age) đã chỉ định. Nếu cấu hình chứng chỉ SSL bị lỗi, có nguy cơ trang web sẽ hoàn toàn không thể truy cập được trong thời gian này. Do đó, nên thử nghiệm với khoảng thời gian ngắn trước.
Q.Cách thiết lập cache header đúng là gì?: Thực hành tốt nhất là thiết lập thời gian hết hạn dài (ví dụ: 1 năm) bằng Cache-Control cho các tài nguyên tĩnh như hình ảnh và CSS, và đặt "no-cache" cho các file HTML thường xuyên cập nhật để trình duyệt luôn truy vấn lại từ máy chủ.

scenes,

Ứng dụng

🔍

Kiểm tra SEO & Chuyển hướng

Xác minh xem các chuyển hướng 301/302 có được cấu hình đúng và trả về mã trạng thái phù hợp hay không.
🛡️

Audit Header Bảo mật

Kiểm tra xem các HTTP header cần thiết cho bảo mật (như HSTS) có được xuất ra chính xác hay không.