🔍 HTTP Headers Inspector

Q: What are the most important security headers?

Key security headers include: Strict-Transport-Security (HSTS — forces HTTPS), Content-Security-Policy (prevents XSS), X-Content-Type-Options: nosniff (prevents MIME sniffing), X-Frame-Options (prevents clickjacking), and Referrer-Policy.

Q: What does Cache-Control: max-age mean?

max-age=N tells the browser to cache the response for N seconds. For example max-age=3600 caches for 1 hour. Combined with public or private, it controls whether CDNs and proxies can also cache the response.

Q: What are CORS headers?

CORS (Cross-Origin Resource Sharing) headers like Access-Control-Allow-Origin control which websites can make cross-origin requests to your server. They are required for browser-based API calls from a different domain.

Q: What is the Vary header used for?

The Vary header tells caches which request headers affect the response. Vary: Accept-Encoding means different cached versions exist for gzip vs non-gzip responses. Vary: Accept-Language creates separate caches per language.

Inspect HTTP response headers for any URL. Check status code, cache-control, security headers, and content type. Free online HTTP header checker tool — no signup.

Paste HTTP Response Headers

How to Use

Paste your headers

Copy HTTP response headers from your browser DevTools (Network tab → Response Headers) and paste them here.

Inspect the results

Click Inspect to categorize headers: Security, Caching, CORS, Content-Type, and more.

Read the descriptions

Each header row includes a description explaining what it does and why it matters for web performance and security.

Frequently Asked Questions

Where do I find HTTP headers to paste? +

In Chrome/Firefox DevTools (F12) → Network tab → click any request → Headers tab. Or use curl -v https://example.com and copy the response headers (lines after < that start with a header name).

What are the most important security headers? +

Key security headers include: Strict-Transport-Security (HSTS — forces HTTPS), Content-Security-Policy (prevents XSS), X-Content-Type-Options: nosniff (prevents MIME sniffing), X-Frame-Options (prevents clickjacking), and Referrer-Policy.

What does Cache-Control: max-age mean? +

max-age=N tells the browser to cache the response for N seconds. For example max-age=3600 caches for 1 hour. Combined with public or private, it controls whether CDNs and proxies can also cache the response.

What are CORS headers? +

CORS (Cross-Origin Resource Sharing) headers like Access-Control-Allow-Origin control which websites can make cross-origin requests to your server. They are required for browser-based API calls from a different domain.

What is the Vary header used for? +

The Vary header tells caches which request headers affect the response. Vary: Accept-Encoding means different cached versions exist for gzip vs non-gzip responses. Vary: Accept-Language creates separate caches per language.

Tam Rehber: HTTP Başlıkları Denetleyicisi

HTTP Başlıkları Denetleyicisi, herhangi bir URL için yanıt başlıklarını alır ve açıklamalarla birlikte okunabilir bir biçimde sunar. Tek satır kod yazmadan bir sitenin güvenlik duruşunu, önbellekleme stratejisini ve CORS yapılandırmasını denetlemenin en hızlı yollarından biridir.

En Önemli Güvenlik Başlıkları

Content-Security-Policy (CSP) — Hangi kaynakların komut dosyaları, stiller, resimler ve diğer kaynakları yükleyebileceğini kısıtlar. Eksik veya aşırı izin verici bir CSP, XSS saldırıları için birincil vektördür.
Strict-Transport-Security (HSTS) — Tarayıcılara, kullanıcı http:// yazsa bile yalnızca HTTPS üzerinden bağlanmalarını söyler. max-age yönergesi en az 31536000 (bir yıl) olmalıdır.
X-Frame-Options — Sayfanın bir <iframe> içine gömülüp gömülemeyeceğini kontrol ederek tıklama korsanlığını önler.
X-Content-Type-Options — Bunu nosniff olarak ayarlamak, tarayıcıların yanıtları MIME türü algılamasını durdurur.
Permissions-Policy — Kamera, mikrofon ve konum gibi tarayıcı API'lerine erişimi kaynak bazında kontrol eder.

Önbellekleme Başlıkları

Cache-Control — Birincil yönerge. max-age=3600 bir saat önbelleğe alır. no-store önbelleklemeyi tamamen engeller.
ETag — Yanıt içeriğinin parmak izi. Tarayıcı bunu If-None-Match olarak geri gönderir; eşleşirse sunucu 304 Not Modified döndürür.
Last-Modified — Kaynağın en son değiştirildiği tarih. ETag gibi çalışır ancak daha az hassastır.

CORS Başlıkları

Çapraz kaynaklı kaynak paylaşımı başlıkları, hangi harici etki alanlarının API'nize istek yapabileceğini kontrol eder:

Access-Control-Allow-Origin — İzin verilen kaynak. * tüm kaynaklara izin verir (kimlik bilgisi içeren istekler için tehlikelidir).
Access-Control-Allow-Methods — Tarayıcının çapraz kaynaklı isteklerde kullanabileceği HTTP metodları.
Access-Control-Max-Age — Tarayıcının ön uçuş yanıtını ne kadar süre önbelleğe alacağı.

Vary Başlığını Okuma

Vary başlığı, yanıtın belirli istek başlıklarına göre farklılık gösterebileceğini önbelleklere bildirir. Vary: *, CDN'ler gibi paylaşılan önbelleklerde önbelleklemeyi etkin biçimde devre dışı bırakır.

HTTPS Yönlendirme Zincirleri

Denetleyici yönlendirme zincirlerini takip eder ve her atlamayı gösterir. İyi yapılandırılmış bir site, http:// adresini tek bir 301 ile https:// adresine yönlendirmelidir. Birden fazla ardışık 301 görürseniz, her ilk ziyarette gereksiz bir ağ gidiş-dönüşü harcıyorsunuz demektir.

İlgili Araçlar

Denetleyicinin yaptığı tam isteği yeniden oluşturmak için eşdeğer komutu cURL'den Koda dönüştürücüye kopyalayın. Base64 kodlamalı başlık değerleriyle karşılaşırsanız, yükü incelemek için Base64 Kodlayıcı'yı kullanın.