Що таке HTTP-заголовки відповіді?
HTTP-заголовки відповіді показують, як поводиться вебсервер: який код статусу він повертає, куди переадресовує, яке ПЗ використовує та які заголовки безпеки надсилає. Відсутні заголовки на кшталт HSTS, Content-Security-Policy чи X-Frame-Options залишають сайти вразливими до атак пониження, ін’єкцій і клікджекінгу. IPeek проходить весь ланцюжок переадресацій і оцінює відповідь за ключовими заголовками безпеки.
Як працюють HTTP-заголовки і коди статусу
Кожна HTTP-відповідь починається з коду статусу й набору заголовків, перш ніж надійде тіло сторінки. Код статусу повідомляє клієнту, що сталося: 200 означає успіх, 301 і 302 — що ресурс переміщено, 404 — не знайдено, а 5xx — що сервер зазнав збою. Заголовки несуть метадані, як-от Content-Type, Server, Cache-Control, і директиви безпеки, що вказують браузеру, як обробляти сторінку. IPeek запитує URL, фіксує ці заголовки точно так, як їх надіслав сервер, і проходить кожну переадресацію, тож ви бачите повний шлях до кінцевої відповіді.
Як читати результати заголовків і переадресацій
Спершу підтвердьте, що кінцевий код статусу — той, на який ви очікуєте, зазвичай 200 для живої сторінки. Потім пройдіть ланцюжок переадресацій: чисте налаштування переадресовує HTTP на HTTPS і будь-який неканонічний хост на канонічний за якомога меншу кількість кроків, адже кожна зайва переадресація додає затримку. Стежте за циклами переадресацій або ланцюжком, що приводить на хибний хост. Заголовок Server показує використовуване ПЗ, а оцінка заголовків безпеки одразу показує, які захисні заголовки присутні, а яких бракує.
Ключові заголовки безпеки та поширені прогалини
Strict-Transport-Security (HSTS) змушує браузери використовувати HTTPS, запобігаючи атакам пониження. Content-Security-Policy обмежує, звідки можуть завантажуватися скрипти й ресурси, — це найсильніший захист від міжсайтового скриптингу. X-Frame-Options або директива CSP frame-ancestors блокує клікджекінг, контролюючи, хто може вбудовувати вашу сторінку. X-Content-Type-Options: nosniff зупиняє вгадування MIME-типу. Найпоширеніша прогалина — сайт, що не віддає жодного з цих заголовків, залишаючи браузер без додаткового захисту. Додайте їх на вебсервері чи CDN, а потім перевірте знову, щоб підтвердити, що вони з’являються в живій відповіді.
Коли виконувати перевірку HTTP-заголовків
Перевіряйте заголовки після розгортання, після зміни CDN чи зворотного проксі, і щоразу, коли посилюєте безпеку сайту, адже саме в ці моменти заголовки додаються, видаляються чи перевизначаються. Це найшвидший спосіб підтвердити, що переадресація з HTTP на HTTPS справді працює, налагодити неочікуваний ланцюжок переадресацій або переконатися, що налаштований вами заголовок безпеки доходить до реальних браузерів, а не зрізається десь на шляху доставки.