Verificador de Encabezados HTTP
Utilidad práctica para comprobador de cabeceras http directamente en su navegador, con procesamiento local en memoria y sin enviar sus datos a servidores externos.
Diagnóstico de Respuestas HTTP
Introduzca cualquier URL HTTP o HTTPS arriba y haga clic en Inspeccionar Cabeceras para analizar códigos de respuesta y cabeceras de seguridad.
Acerca de Verificador de Encabezados HTTP
Las cabeceras de respuesta HTTP determinan cómo los navegadores web almacenan recursos en caché, renderizan marcos, aplican medidas de seguridad HTTPS y gestionan cookies. Cabeceras como Content-Security-Policy, Strict-Transport-Security y X-Content-Type-Options protegen los sitios web modernos frente a ataques de secuencias de comandos en sitios cruzados (XSS) e intentos de clickjacking.
Los desarrolladores que configuran servidores web como Apache, Nginx, Cloudflare o Vercel deben verificar la configuración de las cabeceras para asegurarse de que las directivas de seguridad se envíen correctamente y las políticas de caché cumplan los objetivos de rendimiento.
Este inspector de cabeceras y respuestas HTTP analiza las cabeceras de respuesta y los códigos de estado devueltos por extremos web. Puede examinar descripciones de estados de respuesta, evaluaciones de cabeceras de seguridad, codificaciones de contenido y directivas de control de caché en tiempo real.
Para depurar configuraciones de servidor, consulte códigos de respuesta con la búsqueda de códigos de estado HTTP y resuelva registros de hosts mediante la búsqueda DNS.
Especificaciones de ingeniería y detalles de ejecución
Prueba respuestas HTTP mediante peticiones estándar con la API Fetch en modos de inspección compatibles con CORS.
Evalúa cabeceras de seguridad esenciales: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options y Referrer-Policy.
Descodifica códigos de estado de respuesta HTTP estándar definidos por el estándar IETF RFC 9110.
Analiza cabeceras Cache-Control para calcular periodos de expiración de recursos y diferenciar almacenamiento público de privado.
Incluye un diccionario sin conexión completo con los 63 códigos de estado HTTP oficiales de la IANA con explicaciones técnicas.
Privacidad de datos y aislamiento en memoria
Las solicitudes se envían directamente desde su navegador sin pasar por servidores proxy intermedios privados.
No se guarda ninguna dirección URL de prueba, respuesta de cabeceras ni token de autenticación en nuestros servidores.
Casos de uso comunes en producción
- Especialistas en seguridad web que auditan cabeceras de seguridad para garantizar el cumplimiento de las recomendaciones de OWASP.
- Ingenieros de DevOps que verifican que los bloques de configuración de Nginx o Apache apliquen directivas de caché correctas.
- Desarrolladores frontend que diagnostican fallos de negociación previa de CORS (Cross-Origin Resource Sharing) y bloqueos de cabeceras.
- Desarrolladores de API que validan declaraciones de Content-Type y codificación de caracteres en extremos JSON y XML.
- Administradores de sistemas que confirman que las redirecciones 301 de HTTP a HTTPS funcionan correctamente.
Casos extremos y límites operativos
- Cabeceras restringidas por CORS: los navegadores limitan el acceso a ciertas cabeceras del servidor a menos que se expongan mediante Access-Control-Expose-Headers; las cabeceras estándar se auditan con normalidad.
- Bucles de redirección: los extremos que devuelven redirecciones 301 o 302 continuas se señalan para advertir a los administradores sobre cadenas de redirección.
- Ausencia de cabeceras HSTS: los sitios web que carecen de Strict-Transport-Security se destacan con recomendaciones de seguridad pertinentes.
- Prefijos de cabeceras personalizadas: las cabeceras propietarias no estándar (como X-Powered-By) se analizan y muestran de forma ordenada.
Preguntas Frecuentes
¿Qué es Content-Security-Policy (CSP) y por qué es importante?
CSP es una cabecera de seguridad HTTP que restringe qué dominios pueden cargar scripts, imágenes y hojas de estilo en su página, mitigando ataques de Cross-Site Scripting (XSS).
¿Qué es Strict-Transport-Security (HSTS)?
HSTS ordena a los navegadores web comunicarse con un dominio exclusivamente mediante conexiones seguras HTTPS, evitando ataques de degradación de protocolo del tipo intermediario (man-in-the-middle).
¿Qué función cumple la cabecera X-Frame-Options?
X-Frame-Options indica si un navegador puede renderizar una página dentro de un iframe, previniendo ataques de clickjacking en los que sitios maliciosos superponen marcos transparentes.
¿Por qué es relevante la directiva max-age de Cache-Control para el rendimiento web?
La directiva max-age indica a los navegadores durante cuántos segundos deben almacenar un recurso en la caché local, eliminando peticiones redundantes al servidor y acelerando la carga.
¿Qué significa el código de estado HTTP 304 Not Modified?
El estado 304 indica que el recurso solicitado no ha cambiado desde la última descarga, permitiendo al cliente reutilizar su copia local en caché para ahorrar ancho de banda.
¿Puede esta herramienta inspeccionar extremos locales en localhost?
Sí. Debido a que el inspector se ejecuta directamente dentro de su navegador, puede enviar peticiones a servidores de desarrollo local en localhost siempre que tengan habilitadas las cabeceras CORS correspondientes.