Анализатор HTTP-заголовков
Вставьте необработанные HTTP-заголовки запроса или ответа: они будут разобраны, распределены по категориям (безопасность, кеширование, CORS, содержимое) и объяснены по одному, а также доступны в виде экспорта JSON — всё в вашем браузере.
Ввод
Вывод
Сводка
| Показатель | Значение |
|---|---|
| No data yet | |
Разбор заголовков
| Заголовок | Категория | Значение | Описание |
|---|---|---|---|
| No data yet | |||
Экспорт JSON
Другие способы использовать этот инструмент
REST API
curl -X POST https://api.iotools.cloud/v1/tool/http-header-analyzer \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"headersInput": "HTTP/1.1 200 OK\nDate: Fri, 20 Mar 2026 08:15:30 …"
}'Подставьте свой собственный ключ из аккаунта. Поля инструмента — это тело запроса, без обёртки.
Спросите у ИИ-агента
Use the IOTools `http-header-analyzer` tool (HTTP Header Analyzer) on this input:
YOUR_INPUT_HEREВставьте это любому агенту, подключённому к MCP-серверу IOTools, и добавьте свой ввод.
Виджет для встраивания
<iframe
src="https://iotools.cloud/embed/http-header-analyzer/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="Анализатор HTTP-заголовков — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>Вставьте это на свою страницу — бесплатно, без ключа, нужна лишь обратная ссылка.
| Стоимость вызова API/MCP | От 5 кредитов |
|---|---|
| Нужно больше кредитов? | Посмотреть тарифы |
Также доступно через
Руководства
Каждый HTTP-запрос и ответ содержит набор заголовков, которые управляют кешированием, безопасностью, доступом между источниками и тем, как интерпретировать тело сообщения. Но разбирать их без подготовки утомительно, и легко упустить защитный заголовок, который должен быть, но отсутствует. Анализатор HTTP-заголовков разбирает вставленный блок необработанных заголовков и превращает его в структурированный обзор: какие заголовки присутствуют, за что отвечает каждый из них и каких распространённых заголовков безопасности не хватает.
Он создан для тех, кто ищет причину проблем с кешированием, проверяет настройки безопасности сайта, выясняет, почему CORS-запрос не проходит, или просто хочет понять, что сервер вернул.
Как пользоваться
- Получите заголовки, которые хотите проверить: из вкладки Network в браузере (щелчок правой кнопкой по запросу → Copy → Copy request/response headers), из
curl -Iилиcurl -sD -, либо из любого необработанного HTTP-трейса. - Вставьте блок в поле ввода. Необязательная строка состояния в начале (
HTTP/1.1 200 OK,HTTP/2 200) или строка запроса (GET /path HTTP/1.1) распознаётся и пропускается; каждая другая строка разбирается какИмя-заголовка: значение. - Анализ обновляется по мере ввода.
Результат делится на три раздела:
- Сводка — строка состояния (если есть), общее количество заголовков, количество по каждой категории, число пользовательских и нестандартных заголовков и список распространённых защитных заголовков, которых нет.
- Разбор заголовков — каждый разобранный заголовок с его категорией и однострочным описанием назначения.
- Экспорт JSON — тот же анализ в виде структурированного JSON (заголовки, категория и описание каждого из них и сводка), готовый к копированию или скачиванию.
Имена заголовков сопоставляются без учёта регистра. Заголовки, которые законно повторяются, — чаще всего Set-Cookie — сохраняются вместе со всеми значениями и не сворачиваются в один.
Как распределяются заголовки по категориям?
- Безопасность —
Strict-Transport-Security,Content-Security-Policy,X-Content-Type-Options,X-Frame-Options,Referrer-Policy,Permissions-Policyи связанные заголовки, которые усиливают обработку ответа браузером. - Кеширование —
Cache-Control,Expires,ETag,Last-Modified,Vary,Ageи заголовки условных запросов. - CORS — семейство
Access-Control-*иOrigin. - Содержимое —
Content-Type,Content-Encoding,Content-Lengthи другие заголовки, описывающие само тело ответа. - Пользовательские — всё остальное, включая нестандартные заголовки
X-*, заголовки, по которым определяется сервер, напримерServerиX-Powered-By, а также cookie. Попадание сюда не является проблемой — это просто значит, что заголовок не входит в четыре стандартные группы выше.
Какие заголовки безопасности проверяются?
В сводке отмечаются те из Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy или Permissions-Policy, которых нет. Отсутствие заголовка не обязательно означает ошибку: например, JSON API редко нуждается в X-Frame-Options. Но этот список полезен как контрольный перечень для HTML-ответа, открытого для публичного доступа.
Можно вставить запрос вместо ответа?
Да. Заголовки запроса (Cookie, Authorization, Host, заголовки CORS preflight и другие) разбираются и категоризируются так же, как заголовки ответа.
Инструмент сам загружает URL?
Нет. Он анализирует только вставленные вами заголовки и никогда не выполняет сетевых запросов, поэтому работает и с заголовками от закрытых или внутренних сервисов, недоступных из публичной сети.
Конфиденциальность
Весь разбор выполняется исключительно в вашем браузере. Вставленные заголовки никогда не загружаются, не записываются в журнал и никуда не отправляются.