Alat populer

Tema

Cek HTTP Header

Cek HTTP header situs apa pun dengan HTTP header checker ini: header respons persis seperti dikirim server, berurutan dan lengkap dengan duplikatnya, dengan nilai keamanan menurut tes Mozilla HTTP Observatory, plus caching, cookie, server, dan protokol.

Satu permintaan dari server kami, head mentah dijaga urutannya · tes terbitan Mozilla HTTP Observatory (algoritma 6) · nilai cookie tidak pernah ditampilkan atau disimpan

Kami mengikuti redirect sampai halaman akhir dan menilai halaman itu. Header tiap hop ada di Redirect.

Sebagai
Coba

Apa itu HTTP header?

HTTP header adalah baris-baris yang dikirim server sebelum halaman itu sendiri: baris status, lalu satu kolom nama: nilai per baris, lalu baris kosong dan badan (RFC 9110). Nama tidak membedakan huruf besar-kecil; nilainya milik server sendiri.

Header respons memberi tahu browser apa isi kontennya, berapa lama boleh menyimpan salinan, cookie mana yang disimpan, dan aturan keamanan apa yang harus diterapkan. Alat ini menampilkannya persis seperti dikirim, berurutan dan dengan setiap duplikat, serta memberi warna tiap baris sesuai fungsinya.

Anatomi sebuah responsgithub.com · direkam 24 Oktober 2026
baris statusHTTP/1.1200OK
baris kolomStrict-Transport-Security: max-age=31536000; includeSubdomains; preload
X-Frame-Options: deny
Cache-Control: max-age=0, private, must-revalidate
Content-Type: text/html; charset=utf-8
Set-Cookie: _gh_sess=‹344 karakter›; path=/; HttpOnly; secure; SameSite=Lax
Server: github.com
… 14 baris lagi
badan<!DOCTYPE html><html lang="en" …
Keamananyang harus diterapkan browser
Cachingberapa lama salinan boleh dipakai ulang
Cookieyang disimpan browser
Server & tepi jaringansiapa yang menjawab, lewat CDN mana

Bagaimana cara cek HTTP header sebuah situs?

Ketik URL di atas dan pilih Cek header: alat ini memintanya dari server kami, mengikuti redirect sampai halaman akhir, dan menampilkan head respons halaman itu baris demi baris, dengan nilai keamanan di sampingnya. Pilih HEAD di kotak metode untuk meminta head saja.

Pilih baris mana pun untuk melihat fungsinya dan arti nilainya. Tampilan di bawah menyortir temuan: Keamanan dengan perbaikan per server, Caching, Cookie, Server & protokol, dan Redirect.

Cek header: respons persis seperti dikirim

Huruf dan urutan asli, duplikat dipertahankan, dibaca lewat HTTP/1.1; nilai panjang dilipat, nilai cookie tidak pernah tampil. Situs di belakang Cloudflare dibaca lewat jaringan Cloudflare, dan hasilnya menyebutkannya.

Cek security header dengan tes Mozilla Observatory

12 tes dan poin yang sama dengan kode Observatory, kedua babak dihitung di kolom skor, dan link ke pemindaian Mozilla sendiri untuk host tersebut.

Cek header Server: perangkat lunak, CDN, dan protokol

Server dan X-Powered-By beserta versi apa pun yang dibocorkan, CDN dan status cache-nya, versi TLS, HTTP/2 dan HTTP/3.

Cek HSTS dan kesiapan preload

max-age, includeSubDomains dan preload dibaca menurut aturan hstspreload.org, sebagai informasi: preload bersifat opsional.

Cek HTTP header github.com: header respons seperti dikirim dan nilai keamanan A+ sebesar 115Cek HTTP header github.com: header respons seperti dikirim dan nilai keamanan A+ sebesar 115Nilai dan vonisNilai dan poin Observatory untuk halaman akhir, dengan perbaikan yang paling bernilai di urutan pertama.Satu baris header, seperti dikirimSetiap baris dengan huruf dan urutan milik server sendiri; tanda di margin adalah hasil tes header itu.Babak bonusBonus hanya dihitung bila skor masih 90 atau lebih setelah semua penalti: dua babak Observatory.TampilanKeamanan dengan perbaikan per server, lalu caching, cookie, server dan protokol, serta redirect.
Cek header untuk github.com: nilai dan vonis, respons persis seperti dikirim, dan dua babak Mozilla HTTP Observatory yang dihitung. Pilih sebuah angka untuk melihat apa yang ditunjukkan tiap bagian.

Security header apa yang sebaiknya dikirim setiap situs?

Mulailah dari empat: Content-Security-Policy, Strict-Transport-Security, perlindungan framing (X-Frame-Options atau frame-ancestors di CSP) dan X-Content-Type-Options: nosniff. Kehilangannya paling banyak mengurangi poin pada nilai Mozilla HTTP Observatory.

Referrer-Policy dan kebijakan lintas-origin (COOP, COEP dan CORP) memberi poin bonus setelah dasarnya benar. Permissions-Policy layak diatur, tetapi hanya browser Chromium yang membacanya, dan Observatory tidak menilainya.

Security header, dan nilai masing-masingMozilla HTTP Observatory · algoritma 6
HeaderMencegahHilangDiatur baikBerfungsi di
Content-Security-Policyskrip yang disuntikkan−25+5 / +10
Strict-Transport-Securitypenurunan ke http://−20+5 di-preload
X-Frame-Options · frame-ancestorsclickjacking di frame tersembunyi−20+5
X-Content-Type-Optionsfile dijalankan dengan tipe yang salah−50
Referrer-PolicyURL lengkap bocor ke situs lain0+5
Cross-Origin-Opener-Policyjendela lain menjangkau masuk0+10
Cross-Origin-Embedder-Policymemuat yang tidak memilih ikut0+10
Cross-Origin-Resource-Policysitus lain menyematkan file Anda0+10
Permissions-Policyembed memakai kamera, mikrofon, lokasi—tidak dinilaihanya
Bonus hanya dihitung bila skor masih 90 atau lebih setelah penalti. Tes Observatory lainnya melihat cookie, subresource integrity, CORS, dan redirect ke HTTPS.

Bagaimana nilai keamanan dihitung?

Kami mengikuti metode Mozilla HTTP Observatory tes demi tes: mulai dari 100, kurangi setiap penalti, dan hanya jika hasilnya masih 90 atau lebih, tambahkan bonus. Skor lalu dipetakan ke nilai dari F sampai A+ (dokumentasi penilaian Observatory).

Babak kedua itu sering mengejutkan: situs dengan satu kesalahan mahal tidak mendapat satu pun bonusnya. Dengan COOP dan COEP yang ditambahkan pada 2026, kode Observatory mengizinkan hingga 165 poin, sementara dokumentasinya masih menyebut 145 pada 24 Oktober 2026; kami mengikuti kodenya. Setiap hasil menautkan ke pemindaian Mozilla sendiri untuk host itu, sehingga Anda bisa membandingkan.

Dua situs, dihitungHasil Observatory sendiri, 24 Oktober 2026

github.comA+

  1. Awal100
  2. Tanpa SRI pada skrip eksternal−595
  3. 90 atau lebih: babak bonus dihitung
  4. Cookie: Secure, HttpOnly, SameSite+5
  5. Referrer-Policy+5
  6. HSTS di-preload+5
  7. Framing lewat CSP+5
  8. Skor115

www.mozilla.orgB+

  1. Awal100
  2. CSP mengizinkan 'unsafe-inline'−2080
  3. di bawah 90: babak bonus dilewati
  4. COOP dengan same-origin+10
  5. Referrer-Policy+5
  6. Framing lewat CSP+5
  7. Skor80
Situs Mozilla kehilangan 20 poin karena satu direktif CSP, lalu 20 poin bonus yang sudah diperolehnya tidak dihitung. Tanpa 'unsafe-inline' dan 'unsafe-eval' di script-src itu, header yang sama akan bernilai 120.

Apa itu HSTS, dan haruskah di-preload?

Strict-Transport-Security memberi tahu browser agar hanya memakai https:// untuk sebuah host selama max-age detik, dan includeSubDomains memperluasnya ke setiap subdomain (RFC 6797). Browser mengabaikannya lewat http:// biasa, dan hanya header pertama yang dihitung. Observatory mengurangi 20 poin bila hilang dan 10 bila max-age kurang dari enam bulan.

Preload bersifat opsional: hstspreload.org kini menyebut HSTS direkomendasikan tetapi preload tidak, karena Chrome dan Safari sudah meningkatkan navigasi ke HTTPS, dan keluar dari daftar memakan waktu berbulan-bulan. Untuk tetap mengajukan, Anda butuh max-age minimal setahun, includeSubDomains, preload, dan HTTPS di setiap subdomain; naikkan max-age bertahap lebih dulu.

Dua domain menurut aturan hstspreload.orgdirekam 24 Oktober 2026 · sebagai informasi

github.comada di daftar preload

  • Sertifikat valid
  • http:// ke https:// di host yang sama lebih duluhttp://github.com → https://github.com/
  • www juga di HTTPS
  • max-age 31536000 atau lebihmax-age=31536000
  • direktif includeSubDomains
  • direktif preload
  • HSTS juga di redirect https://-nya

mozilla.orgtidak ada di daftar

  • Sertifikat valid
  • http:// ke https:// di host yang sama lebih dulu302 → https://mozilla.org:443/
  • www juga di HTTPS
  • max-age 31536000 atau lebihmax-age=60
  • direktif includeSubDomains
  • direktif preload · tidak dikirim
  • HSTS juga di redirect https://-nya

Menaikkan max-age, seperti saran hstspreload.org

  1. 3005 mnt · untuk uji coba
  2. 6048007 hari
  3. 259200030 hari
  4. 31536000365 hari · minimum preload

Tidak satu pun hasil ini adalah kesalahan: hstspreload.org menyebut preload tidak direkomendasikan untuk sebagian besar situs, dan HSTS tanpa preload melindungi setiap pengunjung setelah kunjungan pertamanya.

Apa fungsi Content-Security-Policy?

Content-Security-Policy mendaftar dari mana sebuah halaman boleh memuat skrip, gaya, gambar, dan frame, sehingga skrip yang disuntikkan penyerang dari tempat lain tidak berjalan. Direktif frame-ancestors-nya juga menentukan siapa yang boleh membingkai halaman, dan menggantikan X-Frame-Options (CSP Level 3).

'unsafe-inline' di script-src membatalkan sebagian besar perlindungan itu, itulah sebabnya Observatory mengurangi 20 poin untuknya; gunakan nonce atau hash sebagai gantinya (bila ada salah satunya di daftar, browser mengabaikan 'unsafe-inline'). Header Content-Security-Policy-Report-Only tidak memblokir apa pun, hanya melaporkan, sehingga menjadi cara aman untuk mencoba kebijakan baru lebih dulu.

Sebuah CSP, direktif demi direktifgithub.com dan www.mozilla.org · 24 Oktober 2026

github.com

default-srcsemua yang tidak tercantum di bawah'none'
base-uri<base href> halaman'self'
script-srcdari mana skrip boleh dimuatgithub.githubassets.com 'sha256-6AKuI+cDd1MoUL1u4eqrA9PXmnPAkOB4h7421hPUUm0='
style-srcstylesheet'unsafe-inline' github.githubassets.com
img-srcgambar'self' data: blob: github.githubassets.com media.githubusercontent.com camo.githubusercontent.com …
frame-ancestorssiapa yang boleh membingkai halaman ini'none'
form-actionke mana formulir boleh mengirim'self' github.com gist.github.com copilot-workspace.githubnext.com …
script-src di www.mozilla.org'self' 'unsafe-eval' 'unsafe-inline' *.google-analytics.com *.googletagmanager.com google-analytics.com …
github.com mulai dari default-src 'none' dan mengizinkan tiap sumber dengan nama. Dengan nonce atau hash di daftar, browser mengabaikan 'unsafe-inline'; Observatory pun tidak menghitungnya.

Cache-Control dijelaskan: berapa lama salinan boleh dipakai ulang?

Selama jumlah detik yang disebut max-age-nya: Cache-Control memberi tahu browser dan CDN berapa lama mereka boleh memakai ulang respons tanpa bertanya lagi ke server, dan s-maxage menetapkan masa berlaku terpisah untuk cache bersama seperti CDN (RFC 9111).

no-cache bukan berarti "jangan di-cache": artinya simpan, tetapi tanyakan ke server sebelum setiap pemakaian ulang; no-store menjauhkannya dari semua cache. Header Age menyebut seberapa tua salinan CDN, dan tanpa Cache-Control sama sekali browser boleh memperkirakan masa berlaku sekitar 10% dari waktu sejak Last-Modified.

Berapa lama salinan tetap segarwww.wikipedia.org · direkam 24 Oktober 2026

Cache-Control: s-maxage=86400, must-revalidate, max-age=3600

Cache bersama (CDN)s-maxage=86400 · 24 jsisa 21 j, 39 mnt

Browsermax-age=3600 · 1 jbasi

no-storejangan tulis ke cache mana pun
no-cachesimpan, tetapi tanya server sebelum setiap pemakaian ulang
max-age=Nsegar selama N detik (Expires lalu diabaikan)
s-maxage=Nsama, hanya untuk cache bersama
privatehanya browser, tidak pernah CDN
immutablejangan validasi ulang saat reload (Chrome mengabaikannya)
Salinan CDN sudah berumur 2 j, 20 mnt ketika sampai ke kami, melewati 1 j milik browser: browser yang menerimanya harus memeriksa ke server (permintaan ETag) sebelum memakainya ulang.

HTTP header mana yang sudah usang?

X-XSS-Protection, Expect-CT, Public-Key-Pins, Feature-Policy dan P3P tidak lagi berguna di browser masa kini. X-XSS-Protection sebaiknya 0 atau tidak ada, karena filter lamanya sendiri bisa membuka celah (OWASP).

Nomor versi di Server dan header X-Powered-By apa pun tidak usang, tetapi RFC 9110 dan OWASP sama-sama menyarankan untuk tidak memakainya: keduanya memberi tahu penyerang bug lama mana yang bisa dicoba (RFC 9110 §10.2.4).

Header yang bisa dihapusOWASP · Chromium · RFC 9110
X-XSS-Protection: 1; mode=block

kirim 0, atau tidak sama sekali

Chrome 78 dan Safari 15.4 menghapus filter XSS mereka; Firefox tidak pernah punya. github.com dan www.google.com mengirim 0.

Chrome
Expect-CT

hapus

Usang sejak Chrome 107: Certificate Transparency tetap diberlakukan.

Chrome
Public-Key-Pins

hapus

Dihapus di Chrome 72; tidak ada browser masa kini yang mendukungnya.

Chrome
Feature-Policy

ganti dengan Permissions-Policy

Diganti nama: header lamanya usang.

Chrome
P3P

hapus

Standar privasi yang sudah mati dan tidak dibaca browser masa kini; www.youtube.com masih mengirimnya.

YouTube
Server: Apache/2.4.62 (Ubuntu) X-Powered-By: PHP/8.3.12

buang versinya

Contoh rekaan: RFC 9110 dan OWASP menyebut detail ini hanya membantu penyerang.

Apache

Bagaimana cara melihat HTTP header di Chrome atau dengan curl?

Di Chrome, buka DevTools (F12), pilih Jaringan, muat ulang, klik baris pertama dan buka Header. Dengan curl, curl -sI https://example.com mencetak head respons; tambahkan --http1.1 untuk melihat ejaan server sendiri.

Lewat HTTP/2 dan HTTP/3 setiap nama header berhuruf kecil menurut aturan (RFC 9113 §8.2.1), sehingga DevTools menampilkan strict-transport-security di tempat server mungkin menulis Strict-Transport-Security. Alat ini membaca lewat HTTP/1.1 dan menjaga head persis seperti dikirim.

Lihat header sendiricurl · Chrome DevTools
$ curl -sI --http1.1 https://github.com
HTTP/1.1 200 OK
Date: Sat, 24 Oct 2026 08:19:43 GMT
Content-Type: text/html; charset=utf-8
Vary: X-PJAX, X-PJAX-Container, Turbo-Visit, Turbo-Frame, X-Reques…
content-language: en-US
ETag: W/"6995be88733b84f6fb0c35e84ad1df53"
Cache-Control: max-age=0, private, must-revalidate
Strict-Transport-Security: max-age=31536000; includeSubdomains; preload
X-Frame-Options: deny
X-Content-Type-Options: nosniff
…
HeaderPratinjauResponsPengaturan Waktu

DevTools › Jaringan › baris dokumen › Header. Centang Raw untuk melihat baris seperti diterima. Lewat HTTP/2 setiap nama tiba berhuruf kecil; --http1.1 menampilkan ejaan server sendiri.

Cek HTTP header: pertanyaan yang sering diajukan

Berapa nilai security header yang bagus?

A atau A+ pada skala Mozilla HTTP Observatory: 90 poin atau lebih, sehingga babak bonus dihitung. Situs tanpa security header sama sekali biasanya berada di sekitar D atau F; yang menambahkan CSP tanpa sumber tidak aman, HSTS, perlindungan framing, dan nosniff mencapai 100, lalu Referrer-Policy, cookie, dan kebijakan lintas-origin mengangkatnya melewati 100 menjadi A+.

Mengapa nilai saya berbeda dari securityheaders.com?

Keduanya mengukur hal berbeda. securityheaders.com menilai terutama header apa yang ada, dengan skema poin yang terakhir dijelaskan pendirinya pada 2023. Kami mengikuti tes terbitan Mozilla HTTP Observatory, yang juga membaca nilai, cookie, dan redirect ke HTTPS, dan menghitung bonus hanya pada 90 atau lebih. Setiap hasil menautkan ke pemindaian Mozilla sendiri untuk host itu agar Anda bisa membandingkan.

Bisakah security header merusak situs saya?

Ya, dua di antaranya bisa. Content-Security-Policy yang ketat dapat memblokir skrip atau gaya yang dibutuhkan situs, dan HSTS dengan includeSubDomains merusak subdomain mana pun yang tidak punya HTTPS. Luncurkan CSP baru lebih dulu sebagai Content-Security-Policy-Report-Only, baca laporannya, baru terapkan; naikkan max-age HSTS bertahap, mulai dari lima menit, sebelum berkomitmen setahun.

Bisakah saya cek HTTP header dengan permintaan HEAD?

Bisa: pilih HEAD di kotak metode di samping URL. Server seharusnya menjawab dengan header yang sama seperti untuk GET, tanpa badan, meski sebagian server atau CDN menjawab HEAD secara berbeda, dan tes yang membaca HTML, seperti subresource integrity, tidak punya halaman untuk dibaca. GET adalah default karena menunjukkan persis apa yang diterima browser.

Apakah X-XSS-Protection masih diperlukan?

Tidak. Tidak ada browser masa kini yang punya filter XSS yang dikendalikannya: Chrome menghapusnya di versi 78, Safari di 15.4, dan Firefox tidak pernah punya. OWASP menyarankan mengirim X-XSS-Protection: 0 atau tidak sama sekali, karena filter lama itu sendiri bisa disalahgunakan, dan Mozilla Observatory menghapus tesnya pada 2024. Content-Security-Policy-lah yang kini menghentikan skrip yang disuntikkan.

Apa fungsi X-Content-Type-Options: nosniff?

Header ini memberi tahu browser agar memercayai Content-Type yang dikirim server alih-alih menebak dari isinya. Dengan nosniff, skrip atau stylesheet yang disajikan dengan tipe salah diblokir, sehingga file yang diunggah tidak bisa dijalankan sebagai JavaScript. Itu satu-satunya nilai yang valid, dan Observatory mengurangi 5 poin bila header hilang atau tidak valid.

Mengapa nama header berhuruf kecil di Chrome DevTools?

Karena halaman datang lewat HTTP/2 atau HTTP/3, di mana setiap nama header harus berhuruf kecil (RFC 9113 §8.2.1). Nama header tidak membedakan huruf besar-kecil, jadi tidak ada yang salah. Lewat HTTP/1.1 yang tiba adalah ejaan server sendiri, yang dibaca alat ini, sehingga Anda bisa melihat Strict-Transport-Security di sini dan strict-transport-security di DevTools untuk respons yang sama.

Bagaimana cara menambahkan security header di nginx atau Cloudflare?

Di nginx, tambahkan satu baris add_header per header di blok server, dengan always agar halaman error juga mendapatkannya, lalu reload. Di Cloudflare, gunakan Response Header Transform Rule, atau file _headers di Pages. Cek situs di sini sesudahnya: setiap tes yang gagal di tampilan Keamanan disertai potongan kode siap pakai untuk nginx, Apache, IIS, Cloudflare, Vercel, Netlify, dan Express.

Apa itu header Server, dan haruskah disembunyikan?

Ia menyebut perangkat lunak yang menjawab, seperti nginx atau cloudflare. Nama produk saja tidak berbahaya, tetapi RFC 9110 memperingatkan terhadap detail yang terlalu rinci dan OWASP menyarankan memangkasnya, karena nomor versi seperti Apache/2.4.62 memberi tahu penyerang bug lama mana yang bisa dicoba. Hapus X-Powered-By sepenuhnya. Tampilan header server pada alat ini menunjukkan apa yang dibocorkan keduanya.

Apakah alat cek header menyimpan header atau cookie?

Tidak. Kami mengambil URL dari server kami, menampilkan hasilnya, dan menyimpannya dua menit agar muat ulang atau link yang dibagikan cepat menjawab; setelah itu hilang. Nilai cookie tidak pernah ditampilkan atau disimpan: alat ini hanya mendaftar nama tiap cookie, panjang nilainya, dan flag-nya. Tidak ada yang dikaitkan dengan Anda, dan situs yang dicek tidak pernah melihat alamat Anda.

Ada yang kurang?Usulkan fitur atau alat baru

Alat situs web terkait