Analisador de Cabeçalhos HTTP

Toda requisição e resposta HTTP carrega um bloco de cabeçalhos que controlam o cache, a segurança, o acesso entre origens e a forma como o corpo deve ser interpretado, mas lê-los sem contexto é cansativo, e é fácil deixar passar um cabeçalho de segurança que deveria estar presente e não está. O Analisador de Cabeçalhos HTTP interpreta um bloco de cabeçalhos brutos colado por você e o transforma em um detalhamento categorizado: quais cabeçalhos estão presentes, o que cada um faz e quais cabeçalhos de segurança comuns estão ausentes.

Ele foi feito para quem está depurando um problema de cache, auditando a postura de segurança de um site, verificando por que uma requisição CORS falha ou simplesmente tentando entender o que um servidor respondeu.

Como usar

1. Capture os cabeçalhos que deseja inspecionar — na aba Network do seu navegador (clique com o botão direito na requisição → Copy → Copy request/response headers), com curl -I ou curl -sD -, ou em qualquer trace HTTP bruto.
2. Cole o bloco na caixa de entrada. Uma linha de status opcional no início (HTTP/1.1 200 OK, HTTP/2 200) ou uma linha de requisição (GET /path HTTP/1.1) é reconhecida e ignorada; todas as outras linhas são interpretadas como Nome-do-Cabeçalho: valor.
3. A análise é atualizada enquanto você digita.

A saída é dividida em três seções:

• Resumo — a linha de status (se houver), a contagem total de cabeçalhos, a contagem por categoria, a contagem de cabeçalhos personalizados/não padronizados e a lista de cabeçalhos de segurança comuns que estão ausentes.
• Detalhamento dos Cabeçalhos — cada cabeçalho interpretado, com sua categoria e uma explicação de uma linha sobre o que ele faz.
• Exportação em JSON — a mesma análise em JSON estruturado (cabeçalhos, categoria e descrição de cada um e o resumo), pronta para copiar ou baixar.

Os nomes dos cabeçalhos são comparados sem diferenciar maiúsculas de minúsculas, e cabeçalhos que podem se repetir legitimamente — o mais comum é Set-Cookie — são mantidos junto com todos os seus valores, em vez de serem unidos em um só.

Como os cabeçalhos são categorizados?

• Segurança — Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy e outros cabeçalhos relacionados que reforçam o tratamento da resposta pelo navegador.
• Cache — Cache-Control, Expires, ETag, Last-Modified, Vary, Age e os cabeçalhos de requisição condicional.
• CORS — a família Access-Control-* e Origin.
• Conteúdo — Content-Type, Content-Encoding, Content-Length e outros cabeçalhos que descrevem o próprio corpo.
• Personalizado — tudo o mais, incluindo cabeçalhos X-* não padronizados, cabeçalhos que identificam o servidor como Server/X-Powered-By e cookies. Cair aqui não é um problema; apenas significa que o cabeçalho não faz parte dos quatro grupos padrão acima.

Quais cabeçalhos de segurança são verificados?

O resumo sinaliza qualquer um dos cabeçalhos Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ou Permissions-Policy que não estejam presentes. Cabeçalhos ausentes não são necessariamente um erro — uma API JSON tem pouca utilidade para X-Frame-Options, por exemplo —, mas a lista é um checklist útil para uma resposta HTML voltada ao público.

Posso colar uma requisição em vez de uma resposta?

Sim — os cabeçalhos de requisição (Cookie, Authorization, Host, cabeçalhos de preflight CORS etc.) são interpretados e categorizados da mesma forma que os cabeçalhos de resposta.

A ferramenta busca uma URL para mim?

Não — ela apenas analisa os cabeçalhos que você cola e nunca faz uma requisição de rede, por isso também funciona com cabeçalhos de serviços privados ou internos que não são acessíveis publicamente.

Privacidade

Toda a interpretação acontece inteiramente no seu navegador. Os cabeçalhos que você cola nunca são enviados, registrados ou transmitidos para qualquer lugar.