HeaderInspector envoie une requête HTTP(S) à une URL et analyse les en-têtes de réponse de la réponse finale : statut HTTP, protocole, redirections, présence des en-têtes liés à la sécurité, tous les en-têtes de réponse et un audit de sécurité avec avertissements et recommandations.
Saisissez une URL complète dans le champ Target, par exemple https://example.com, puis cliquez sur Inspecter les en-têtes ou appuyez sur Entrée. Si vous omettez le protocole, https:// est supposé. Les redirections sont suivies automatiquement (jusqu’à 5) ; l’analyse se réfère toujours à la réponse finale.
La section Réponse affiche l’URL demandée et l’URL effective après les redirections, le statut HTTP, le protocole (HTTP/1.1 ou HTTP/2), le nombre de redirections, le temps de réponse et le nombre d’en-têtes reçus.
L’aperçu des En-têtes de sécurité liste les en-têtes liés à la sécurité et indique si le serveur les envoie : Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy et X-XSS-Protection.
La section Tous les en-têtes affiche la liste complète des en-têtes de réponse de la réponse finale — chaque en-tête avec sa valeur, y compris les doublons comme les multiples entrées Set-Cookie.
La section Avertissements évalue la sécurité du transport (HTTPS), HSTS avec son max-age, Content-Security-Policy (y compris unsafe-inline/unsafe-eval), la protection contre le framing, nosniff, Referrer-Policy, Permissions-Policy, les politiques cross-origin COOP et CORP, X-XSS-Protection, la divulgation d’informations via des en-têtes comme Server ou X-Powered-By, Cache-Control et les indicateurs de cookies Secure, HttpOnly et SameSite. Chaque constat a un statut OK, AVERT., ÉCHEC ou INFO. Les constats qui ne sont pas OK proposent un lien Recommandations qui ouvre une superposition avec des mesures concrètes et hiérarchisées pour durcir les en-têtes de réponse concernés.
La requête HTTP est envoyée par ce serveur d’une manière qui imite un navigateur normal. Aucun service tiers n’est appelé. Votre navigateur n’envoie que l’URL à ce serveur ; le serveur effectue la requête et renvoie les en-têtes. Aucune donnée personnelle n’est stockée. Les résultats sont mis en cache sur le serveur pendant quelques minutes.