Verificare modifiche server
Confronta intestazioni ricevute prima e dopo una modifica di configurazione.
Analizzatore di header HTTP
Esamina un insieme di header HTTP e ottieni un rapporto leggibile sulle direttive di sicurezza, la cache, CORS e i cookie rilevati.
- Appunti
- Esporta
Incolla le righe della risposta HTTP, con o senza riga di stato.
Dati non inviati
Elaborazione…0 %
Rapporto di analisi
Questo strumento ti è stato utile?
Come funziona questo strumento?
Utilizza Analizzatore di header HTTP direttamente nel browser per ottenere rapidamente il risultato di cui hai bisogno.
Incolla intestazioni di risposta come Nome: valore, una per riga. Una riga di stato come HTTP/1.1 200 OK viene ignorata. I nomi passano in minuscolo e vengono verificati; valori ripetuti si uniscono con virgole. Set-Cookie conserva righe separate perché Expires può contenere virgole. Pseudo-intestazioni HTTP/2 come :status non sono accettate.
Si controlla la presenza di Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy e Permissions-Policy, oltre a Cache-Control, Access-Control-Allow-Origin e Content-Encoding. La percentuale usa una scala interna: 12 punti per ciascuno dei cinque campi, 8 per cache, 6 per origine CORS esplicita, 6 per compressione e fino a 12 per attributi cookie, su un massimo di 92. Non è una certificazione esterna.
Secure, HttpOnly e SameSite riconosciuto vengono cercati separatamente su ogni cookie. Un attributo vale solo se tutti lo hanno. Non si verificano relazioni fra direttive: SameSite=None senza Secure, CSP inefficace o HSTS invalido possono ricevere punti di presenza. Alcuni campi non servono per certe risposte. Un massimo non è quindi un giudizio di sicurezza e un minimo non dimostra vulnerabilità.
Come usare questo strumento
Copiare una risposta reale
Recupera intestazioni dagli strumenti di rete o da un client HTTP. Rimuovi corpo e risposte intermedie per analizzarne una alla volta.
Avviare l’esame locale
Incolla e analizza le righe. Non si carica il sito né si verifica che tutti gli utenti ricevano quelle intestazioni.
Interpretare i singoli risultati
Controlla il significato delle direttive nel contesto. Confronta risposte dopo modifiche server distinguendo presenza ed efficacia dei valori.
Casi d’uso
Valutare cookie separati
Controlla gli attributi presenti per ogni cookie senza fondere le opzioni.
Comprendere la cache
Confronta Cache-Control con l’uso pubblico o privato della risorsa.
Esempi
La presenza non convalida il valore
CSP vale 12 punti su 92, arrotondati al 13%. invalid-policy è fittizio, non consigliato e non validato dal contatore.
Input
Content-Security-Policy: invalid-policyRisultato
13%Gli attributi distribuiti non si sommano
Entrambi i cookie hanno SameSite, ma non entrambi Secure e HttpOnly. Solo SameSite vale 4 su 92 punti, arrotondati al 4%.
Input
Set-Cookie: a=1; Secure; HttpOnly; SameSite=Lax
Set-Cookie: b=2; SameSite=LaxRisultato
4%Consigli e buone pratiche
- Non pubblicare valori reali di Set-Cookie o autenticazione nei ticket. L’analisi locale non protegge il testo condiviso successivamente.
- Risposte statiche, API pubbliche e pagine autenticate richiedono politiche cache e CORS diverse. Interpreta il rapporto per la risorsa concreta.
- Non mescolare intestazioni di reindirizzamento e risposta finale: creeresti politiche che non appartengono a nessuna delle due.
Fonti e riferimenti
- RFC 9110 — HTTP Semantics (si apre in una nuova scheda), RFC EditorPagina in inglese
Domande frequenti
Lo strumento visita il sito?
No. Analizza solo testo incollato. Non prova reindirizzamenti, TLS o politiche durante il caricamento reale di una pagina.
Il 100% garantisce sicurezza?
No. Rappresenta controlli di presenza e attributi di questa scala. Non valida tutta la semantica delle politiche né cerca vulnerabilità applicative.
Perché può essere corretto non avere CORS?
Una risorsa non destinata a letture da altre origini può non annunciarlo. Le origini ammesse devono corrispondere a uso e autenticazione previsti.
Come si valutano più cookie?
Ogni riga conserva i propri attributi. Secure, HttpOnly o SameSite vale solo se tutti lo hanno; non si combinano in un cookie fittizio.
Strumenti correlati
Continua con questi strumenti
Strumenti simili o complementari a questo.
Strumenti simili
Crea header HTTP personalizzati e ottieni un output pronto da usare nelle tue richieste.
SviluppoUsa questo strumento
Crea una richiesta API HTTP completa con metodo, URL, parametri, intestazioni e corpo.
SviluppoUsa questo strumento
Trova un tipo MIME da un’estensione o viceversa.
SviluppoUsa questo strumento
Leggi anche
GuidaBuone pratichePrincipiante
Header HTTP di sicurezza: quali attivare e perché
Comprendi HSTS, Referrer-Policy, Permissions-Policy, protezioni dal framing e isolamento cross-origin prima di distribuirli.
29 agosto 20263 min