Verificar alterações do servidor
Compara cabeçalhos recebidos antes e depois de uma alteração de configuração.
Analisador de cabeçalhos HTTP
Inspecione um conjunto de cabeçalhos HTTP e obtenha um relatório legível sobre diretivas de segurança, cache, CORS e cookies detetados.
- Área de transferência
- Exportar
Cole as linhas de resposta HTTP, com ou sem linha de estado.
Dados não enviados
A processar…0 %
Relatório de análise
Esta ferramenta foi útil?
Como funciona esta ferramenta?
Utilize Analisador de cabeçalhos HTTP diretamente no navegador para obter rapidamente o resultado de que necessita.
Cola cabeçalhos de resposta como Nome: valor, um por linha. Uma linha de estado como HTTP/1.1 200 OK é ignorada. Os nomes passam a minúsculas e são verificados; valores repetidos unem-se com vírgulas. Set-Cookie mantém linhas separadas porque Expires pode conter vírgulas. Pseudocabeçalhos HTTP/2 como :status não são aceites.
Verifica-se a presença de Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy e Permissions-Policy, além de Cache-Control, Access-Control-Allow-Origin e Content-Encoding. A percentagem usa uma escala interna: 12 pontos por cada um dos cinco campos, 8 para cache, 6 para origem CORS explícita, 6 para compressão e até 12 para atributos de cookies, num máximo de 92. Não é certificação externa.
Secure, HttpOnly e SameSite reconhecido são procurados separadamente em cada cookie. Um atributo só pontua se todos o tiverem. Não se verificam relações entre diretivas: SameSite=None sem Secure, CSP ineficaz ou HSTS inválido podem receber pontos de presença. Alguns campos são desnecessários em certas respostas. Um máximo não é uma avaliação de segurança e um valor baixo não demonstra vulnerabilidade.
Como usar esta ferramenta
Copiar uma resposta real
Obtém cabeçalhos nas ferramentas de rede ou num cliente HTTP. Retira corpo e respostas intermédias para analisar uma de cada vez.
Executar o exame local
Cola e analisa as linhas. Não se carrega o site nem se confirma que todos os utilizadores recebem estes cabeçalhos.
Interpretar cada indicação
Confirma o sentido das diretivas no contexto. Compara respostas após alterações do servidor, distinguindo presença e eficácia dos valores.
Casos de uso
Avaliar cookies separados
Confirma atributos de cada cookie sem juntar as opções de todos.
Compreender a cache
Compara Cache-Control com o uso público ou privado do recurso.
Exemplos
Presença não valida o valor
CSP vale 12 pontos em 92, arredondados para 13%. invalid-policy é fictício, não recomendado e não validado pelo contador.
Entrada
Content-Security-Policy: invalid-policyResultado
13%Atributos distribuídos não se somam
Ambos os cookies têm SameSite, mas não ambos Secure e HttpOnly. Só SameSite vale 4 em 92 pontos, arredondados para 4%.
Entrada
Set-Cookie: a=1; Secure; HttpOnly; SameSite=Lax
Set-Cookie: b=2; SameSite=LaxResultado
4%Dicas e boas práticas
- Não publiques valores reais de Set-Cookie ou autenticação em tickets. A análise local não protege o texto partilhado posteriormente.
- Respostas estáticas, API públicas e páginas autenticadas precisam de políticas cache e CORS diferentes. Interpreta o relatório para o recurso concreto.
- Não mistures cabeçalhos de redirecionamento e resposta final: criarias políticas que não pertencem a nenhuma das respostas.
Fontes e referências
- RFC 9110 — HTTP Semantics (abre num novo separador), RFC EditorPágina em inglês
Perguntas frequentes
A ferramenta visita o site?
Não. Só analisa texto colado. Não testa redirecionamentos, TLS nem políticas durante o carregamento real de uma página.
100% garante boa segurança?
Não. Representa verificações de presença e atributos desta escala. Não valida toda a semântica das políticas nem procura vulnerabilidades da aplicação.
Porque pode ser correto não ter CORS?
Um recurso que não deve ser lido a partir de outra origem pode não o anunciar. As origens permitidas devem corresponder aos usos e autenticação previstos.
Como são avaliados vários cookies?
Cada linha mantém os seus atributos. Secure, HttpOnly ou SameSite só pontua se todos o tiverem; não se juntam num cookie fictício.
Ferramentas relacionadas
Continue com estas ferramentas
Ferramentas semelhantes ou complementares a esta.
Ferramentas semelhantes
Construa cabeçalhos HTTP personalizados e obtenha uma saída pronta a usar nos seus pedidos.
DesenvolvimentoUtilizar esta ferramenta
Crie um pedido HTTP completo com método, URL, parâmetros, cabeçalhos e corpo.
DesenvolvimentoUtilizar esta ferramenta
Encontre um tipo MIME a partir de uma extensão ou vice-versa.
DesenvolvimentoUtilizar esta ferramenta
Leia também
GuiaBoas práticasIniciante
Cabeçalhos HTTP de segurança: quais ativar e porquê
Compreenda HSTS, Referrer-Policy, Permissions-Policy, proteções de framing e isolamento cross-origin antes de os implementar.
29 de agosto de 20263 min