Analizador de encabezados HTTP

Analiza encabezados HTTP y obtén un informe sobre seguridad, caché, CORS y cookies.

Pega cabeceras de respuesta en líneas Nombre: valor. Se ignora una línea de estado como HTTP/1.1 200 OK. Los nombres pasan a minúsculas y se validan; valores repetidos se unen con comas. Set-Cookie mantiene líneas separadas porque Expires puede contener una coma. No se aceptan pseudocabeceras HTTP/2 como :status.

Se comprueba la presencia de Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy y Permissions-Policy, además de Cache-Control, Access-Control-Allow-Origin y Content-Encoding. El porcentaje usa una escala interna: 12 puntos por cada uno de los cinco campos, 8 por caché, 6 por origen CORS explícito, 6 por compresión y hasta 12 por atributos de cookies, sobre un máximo de 92. No es una certificación externa.

Secure, HttpOnly y SameSite reconocido se buscan por separado en cada cookie. Un atributo puntúa solo si todas lo tienen. No se validan relaciones entre directivas: SameSite=None sin Secure, CSP ineficaz o HSTS inválido pueden obtener puntos de presencia. Algunos campos no son necesarios en determinadas respuestas. Por tanto, una puntuación máxima no es una auditoría de seguridad, ni una baja demuestra vulnerabilidad.