HTTP Headers
Inspecione cabeçalhos de resposta e etapas de redirecionamento sem baixar o corpo da resposta.
Headers de resposta ajudam a entender o comportamento do endpoint
Cabeçalhos HTTP de resposta podem expor diretivas de cache, metadados de conteúdo, destinos de redirecionamento, desafios de autenticação, cookies, políticas de segurança de transporte e outros comportamentos do servidor. Um header deve sempre ser interpretado no contexto da aplicação e do status da resposta.
Esta ferramenta usa HEAD em vez de baixar o corpo da página
O verificador solicita os metadados da resposta usando HTTP HEAD. Servidores compatíveis normalmente retornam os headers relevantes de GET sem enviar o corpo da representação. Algumas aplicações tratam HEAD de forma diferente ou não o suportam, portanto o resultado pode divergir de uma requisição GET feita pelo navegador.
Redirecionamentos são inspecionados etapa por etapa
O seguimento automático de redirects fica desabilitado. Se uma resposta pública apontar para outro local, o novo destino é analisado, resolvido e validado novamente antes de uma nova conexão. Isso evita que uma URL pública já validada redirecione silenciosamente o servidor para um endereço privado ou reservado.
Cache-Control
Cache-Control contém diretivas que influenciam o armazenamento em cache por navegadores e caches compartilhados, como proxies e CDNs. Diretivas como no-store, no-cache, max-age, public e private possuem significados diferentes e não devem ser interpretadas apenas como liga/desliga.
Headers de segurança são sinais, não uma nota completa de segurança
Headers como Strict-Transport-Security, Content-Security-Policy e X-Content-Type-Options podem ser controles defensivos importantes, mas sua simples presença não prova que uma aplicação seja segura. Valores corretos, escopo, comportamento do navegador e o restante da arquitetura continuam sendo relevantes.