Pular para o conteúdo
IPeek

Verificação de Cabeçalhos HTTP

Inspecione cabeçalhos de resposta, redirecionamentos e segurança

Verificando…

O que são cabeçalhos de resposta HTTP?

Os cabeçalhos de resposta HTTP revelam como um servidor web se comporta: o código de status que ele retorna, para onde redireciona, qual software executa e quais cabeçalhos de segurança envia. A ausência de cabeçalhos como HSTS, Content-Security-Policy ou X-Frame-Options deixa os sites expostos a ataques de downgrade, injeção e clickjacking. O IPeek segue toda a cadeia de redirecionamento e avalia a resposta em relação aos principais cabeçalhos de segurança.

Como funcionam os cabeçalhos HTTP e os códigos de status

Toda resposta HTTP começa com um código de status e um conjunto de cabeçalhos antes do corpo da página. O código de status diz ao cliente o que aconteceu: 200 significa sucesso, 301 e 302 significam que o recurso foi movido, 404 significa não encontrado e 5xx significa que o servidor falhou. Os cabeçalhos carregam metadados como Content-Type, Server, Cache-Control e as diretivas de segurança que instruem o navegador sobre como tratar a página. O IPeek solicita a URL, captura esses cabeçalhos exatamente como o servidor os enviou e segue cada redirecionamento para que você veja todo o caminho até a resposta final.

Como interpretar os resultados de cabeçalhos e redirecionamentos

Primeiro confirme se o código de status final é o que você espera, normalmente 200 para uma página no ar. Depois percorra a cadeia de redirecionamento: uma configuração limpa redireciona HTTP para HTTPS e qualquer host não canônico para o canônico no menor número de saltos possível, já que cada redirecionamento extra adiciona latência. Fique atento a loops de redirecionamento ou a uma cadeia que termina no host errado. O cabeçalho Server revela o software em uso, e a nota dos cabeçalhos de segurança mostra de relance quais cabeçalhos de proteção estão presentes e quais estão ausentes.

Principais cabeçalhos de segurança e lacunas comuns

O Strict-Transport-Security (HSTS) força os navegadores a usar HTTPS, evitando ataques de downgrade. O Content-Security-Policy limita de onde scripts e recursos podem ser carregados, a defesa mais forte contra cross-site scripting. O X-Frame-Options ou uma diretiva CSP frame-ancestors bloqueia o clickjacking controlando quem pode incorporar sua página. O X-Content-Type-Options: nosniff impede o MIME sniffing. A lacuna mais comum é um site que não serve nenhum desses, deixando o navegador sem proteção extra. Adicione-os no servidor web ou na CDN e verifique novamente para confirmar que aparecem na resposta ao vivo.

Quando executar uma verificação de cabeçalhos HTTP

Verifique os cabeçalhos após implantar, após mudar sua CDN ou proxy reverso e sempre que reforçar a postura de segurança de um site, pois esses são os momentos em que cabeçalhos são adicionados, removidos ou sobrescritos. É a forma mais rápida de confirmar que um redirecionamento de HTTP para HTTPS realmente funciona, depurar uma cadeia de redirecionamento inesperada ou verificar se um cabeçalho de segurança que você configurou está chegando aos navegadores reais em vez de ser removido em algum ponto do caminho de entrega.

Perguntas frequentes

O que uma verificação de cabeçalhos HTTP mostra?

Ela mostra o código de status, a cadeia de redirecionamento, o software do servidor e os cabeçalhos de segurança que um site retorna. Você vê se a URL redireciona corretamente, quantos saltos são necessários, qual servidor está respondendo e quais cabeçalhos de proteção como HSTS e Content-Security-Policy estão presentes ou ausentes. Isso a torna um diagnóstico rápido tanto para problemas de roteamento quanto para lacunas de segurança.

O que é HSTS e por que ele importa?

O HTTP Strict-Transport-Security é um cabeçalho que diz aos navegadores para se conectarem somente por HTTPS durante um período definido. Ele importa porque previne ataques de downgrade e man-in-the-middle, em que um atacante força uma conexão HTTP insegura. Uma vez que um navegador vê o HSTS, ele recusa HTTP puro para aquele host até a política expirar, fechando uma janela de ataque real.

Por que meu site tem tantos redirecionamentos?

As cadeias de redirecionamento normalmente se acumulam quando regras separadas resolvem cada uma uma coisa: HTTP para HTTPS, não-www para www e normalização da barra final. Cada salto adiciona latência e uma chance de erro. Reduza-os a um único redirecionamento para a URL canônica final sempre que possível e fique atento a loops em que duas regras enviam a requisição de um lado para o outro.

Quais cabeçalhos de segurança todo site deveria ter?

No mínimo, envie Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options: nosniff e proteção contra frames via X-Frame-Options ou CSP frame-ancestors. O HSTS impõe HTTPS, o CSP limita a injeção de scripts, o nosniff impede confusão de MIME e a proteção contra frames bloqueia clickjacking. Juntos, eles cobrem as classes de ataque mais comuns do lado do navegador com diretivas que você define uma vez no servidor ou na CDN.

Qual é a diferença entre um redirecionamento 301 e 302?

Um 301 é um redirecionamento permanente e um 302 é temporário. Um 301 diz aos navegadores e mecanismos de busca que o recurso foi movido de vez, então eles atualizam favoritos e transferem sinais de ranqueamento para a nova URL. Um 302 diz que a mudança é temporária, então os clientes continuam usando a URL original. Use 301 para redirecionamentos canônicos e de HTTPS.