HTTP header check
Verificador de HTTP headers grátis: veja o status e os cabeçalhos que o site devolve e confira HSTS, nosniff, CSP e Referrer-Policy.
Use a ferramenta abaixo
GratuitaO verificador de HTTP headers é uma ferramenta gratuita que mostra a linha de status e todos os cabeçalhos que um site público devolve, depois de seguir até dois redirecionamentos. A conferência dos headers de segurança fica com o leitor, guiada por uma tabela com seis deles; no HSTS, a lista de pré-carregamento dos navegadores pede max-age de pelo menos 31.536.000 segundos, ou 1 ano.
Resumo com IA
- O verificador de HTTP headers mostra a linha de status e todos os cabeçalhos de resposta de um endereço público, como o servidor os enviou;
- A ferramenta segue até dois redirecionamentos, limita cada consulta a 5 segundos e guarda a resposta de cada endereço em cache por 5 minutos;
- Para entrar na lista de pré-carregamento do HSTS, o site precisa enviar o header com max-age de pelo menos 31.536.000 segundos, ou 1 ano;
- Os seis headers de segurança que mais pesam na conferência são HSTS, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy, X-Frame-Options e Permissions-Policy;
- Cadeia de redirecionamentos, status de erro ou headers diferentes entre as versões com e sem www costumam apontar para a configuração do servidor como um todo.
- Cole o endereço completo do site, com https na frente, no campo do verificador
- Confirme o desafio de segurança e clique em Verificar
- Confira a linha de status no topo do resultado: 200, 301, 404 ou 500
- Procure na lista os seis headers de segurança da tabela da página e anote os ausentes
- Envie os ausentes para quem cuida do servidor e refaça a consulta depois de 5 minutos, o tempo do cache
- Se o resultado mostrar cadeia de redirecionamentos ou status de erro, o que você faz sozinho termina aqui: o diagnóstico do site inteiro é onde a consultoria de SEO entra
O verificador de HTTP headers mostra, de graça, a linha de status e todos os cabeçalhos que um site público devolve ao navegador. Você informa o endereço, a ferramenta consulta o servidor e lista a resposta como ela chegou, e a tabela desta página ensina a conferir quais headers de segurança estão presentes e quais faltam.
Nas auditorias, os headers de segurança são um dos primeiros lugares que eu abro, porque contam em segundos se o site força HTTPS e se protege o visitante, sinais que não aparecem na tela mas pesam na confiança que o navegador transmite.
O que são os HTTP headers e por que eles importam?
Os HTTP headers são informações que o servidor envia junto com a página, antes do conteúdo, para dizer ao navegador como tratar a resposta, e o nome vem do HTTP (Hypertext Transfer Protocol), o protocolo que entrega as páginas da web. Alguns definem cache e tipo de conteúdo, e outros são de segurança, mandando o navegador forçar a conexão segura ou bloquear comportamentos de risco.
O exemplo mais conhecido é o HSTS (HTTP Strict Transport Security), padronizado pela IETF na especificação RFC 6797 em novembro de 2012: com ele, o navegador passa a abrir o site só por HTTPS, a versão criptografada do protocolo, que depende de um certificado SSL válido. Para entrar na lista de pré-carregamento do HSTS, que os navegadores já trazem embutida, o site precisa enviar o header com max-age de pelo menos 31.536.000 segundos, ou 1 ano.
Para o dono de um site, isso responde a uma pergunta prática, se o site protege quem entra e passa a impressão de segurança que o navegador reforça. O visitante não vê nenhum desses headers, mas eles decidem parte da proteção do site: um header de segurança ausente não quebra a página, mas deixa uma brecha que um site cuidadoso fecha.
Como usar o verificador de HTTP headers?
Para usar o verificador, cole o endereço completo com https, confirme o desafio de segurança e clique em Verificar. Em poucos segundos aparece a linha de status, como HTTP 200, e a lista de headers da resposta, já depois de até dois redirecionamentos. A ferramenta mostra o que o servidor responde, e só isso: ela não garante que o site esteja seguro, não corrige nada e não mede efeito no Google.
- Cole o endereço completo do site, com https na frente;
- Confirme o desafio de segurança e clique em verificar;
- Confira a linha de status no topo do resultado;
- Procure na lista os headers de segurança da tabela mais abaixo;
- Leve os headers ausentes para quem cuida do servidor corrigir.
Tudo que o verificador de HTTP headers analisa
O verificador faz uma consulta real ao servidor e devolve a resposta crua, sem filtro nem nota. Na leitura do código da ferramenta, feita pela agência, estes são os seis comportamentos que definem o que aparece no resultado e o que cada um permite decidir sobre o site.
- Linha de status da resposta final (200, 301, 404, 500), para saber se a página abre, redireciona ou dá erro;
- Todos os headers que o servidor devolve, na ordem em que chegam, para conferir os de segurança e os de cache sem ferramenta de programador;
- Até dois redirecionamentos seguidos sozinhos, para ver os headers da página de destino; uma cadeia mais longa costuma voltar como falha de acesso, e isso já é sinal de redirecionamento a revisar;
- Limite de 5 segundos por consulta, para um servidor lento demais aparecer como falha em vez de travar a tela;
- Cache de 5 minutos por endereço: logo depois de corrigir um header, a consulta pode mostrar a resposta antiga, então espere esse intervalo antes de conferir de novo;
- Até 15 consultas a cada 10 minutos por conexão, a proteção contra abuso que mantém a ferramenta gratuita no ar.
Vale a pena conferir os headers do meu site?
Vale, porque os headers de segurança costumam ser um ajuste de configuração que o dono do site nem sabe que existe. Eles não aparecem na tela, então passam despercebidos até uma auditoria ou um alerta apontar a falta. Ativar HSTS, nosniff e uma Referrer-Policy fecha brechas comuns sem mexer no conteúdo, e reforça a confiança que o navegador transmite ao visitante.
A parte técnica costuma pedir apoio, porque a correção é feita na configuração do servidor, da CDN ou de um plugin de segurança. Para ver se os headers são o único ponto fraco da página ou um entre vários, a auditoria de SEO gratuita roda 23 verificações em três níveis de prioridade.
Por dentro da consulta ao servidor
Ao contrário das ferramentas que rodam só no navegador, essa consulta precisa ser feita pelo servidor, porque o navegador não deixa um site ler os cabeçalhos de outro. Então o verificador pede a página pelo servidor, com proteção contra abuso, e devolve os cabeçalhos exatamente como chegaram. Nada além do endereço público que você informa é usado na consulta.
A leitura dos headers de segurança fica com você. A tabela mostra os seis que mais pesam, o que cada um faz e o valor que a folha de recomendações de headers da OWASP indica procurar na resposta.
| Header | O que faz | O que procurar na lista |
|---|---|---|
| Strict-Transport-Security (HSTS) | Pede ao navegador que abra o site só por HTTPS | max-age de pelo menos 31.536.000 segundos (1 ano), o mínimo da lista de pré-carregamento |
| X-Content-Type-Options | Impede o navegador de adivinhar o tipo do arquivo | O valor nosniff |
| Referrer-Policy | Controla que informação de origem sai para outros sites | strict-origin-when-cross-origin, o padrão dos navegadores atuais, ou um valor mais restrito |
| Content-Security-Policy | Define de onde a página pode carregar scripts, estilos e imagens | A presença do header; a política certa depende do site e pede teste antes de ir ao ar |
| X-Frame-Options | Impede que a página seja exibida dentro de um quadro em outro site | O valor DENY, ou a diretiva frame-ancestors dentro da Content-Security-Policy |
| Permissions-Policy | Desliga recursos do navegador que o site não usa, como câmera e microfone | Os recursos sem uso desligados, como camera=() |
Os headers de segurança influenciam o SEO de forma indireta. Quando anunciou o HTTPS como sinal de ranqueamento, em 2014, o Google o descreveu como um sinal leve, que afetava menos de 1% das buscas no mundo; os demais headers da tabela não aparecem como sinal declarado. O caminho é levar os ausentes para quem cuida do servidor e refazer a checagem depois do intervalo do cache.
Quando a lista de headers não basta?
A lista de headers não basta quando o problema não está em um único header. Se o resultado mostra uma cadeia de redirecionamentos, um status de erro, HTTPS sem HSTS ou headers que mudam entre a versão com e sem www, a causa costuma estar na configuração do servidor, da CDN ou do WordPress, e corrigir um item sem olhar o resto pode quebrar outro.
Nesses casos, a verificação gratuita mostra o sintoma, e o diagnóstico pede a leitura do site inteiro: o redirecionamento 301 de cada endereço, o cache, a indexação e a velocidade avaliados juntos, porque um ajuste no servidor mexe em todos eles.
Quando os headers ausentes aparecem junto com páginas que não entram no Google ou endereços que redirecionam em círculo, o que resolve é um serviço de consultoria de SEO, que olha o site como o Google o rastreia e define a ordem das correções.
Perguntas frequentes sobre o verificador de HTTP headers
Estas são as dúvidas mais comuns de quem vai conferir os cabeçalhos de segurança do próprio site.
O verificador de HTTP headers lê a linha de status e todos os cabeçalhos de resposta de qualquer endereço público, depois de seguir até dois redirecionamentos. Ele mostra a resposta como o servidor a enviou, e a conferência dos headers de segurança, como HSTS, X-Content-Type-Options e Referrer-Policy, é feita com a tabela desta página.
O HSTS é o header que manda o navegador acessar o site sempre por conexão segura, mesmo que alguém digite o endereço sem https. Ele fecha a brecha do primeiro acesso inseguro e evita que a conexão seja rebaixada. Na lista de pré-carregamento, o mínimo pedido é um max-age de um ano.
O header que indica o tipo de conteúdo da resposta é o Content-Type, que diz ao navegador se aquilo é uma página HTML, uma imagem ou outro formato. A OWASP recomenda declarar o Content-Type corretamente em todo o site e somar o X-Content-Type-Options com o valor nosniff, para o navegador não adivinhar o tipo.
Os headers de segurança influenciam o SEO de forma indireta. Segundo o anúncio do Google de 2014, o HTTPS, que o HSTS reforça, é um sinal de ranqueamento leve, e um site seguro passa mais confiança ao visitante, o que pode ajudar a conversão. Eles não sobem a página sozinhos, mas fazem parte da saúde técnica do site.
Não para ler o resultado; para corrigir um header, em geral sim, ou alguém que cuide do servidor. Os headers são definidos na configuração do servidor ou por um plugin de segurança, e mexer ali pede conhecimento técnico. O dono do site usa o verificador para saber o que falta e passa a lista para quem cuida da hospedagem aplicar.
A ferramenta guarda a resposta de cada endereço por 5 minutos, para não repetir a mesma leitura, e conta as consultas por conexão durante 10 minutos, para barrar abuso, sem cadastro nem dado pessoal pedido. O endereço consultado já é uma página aberta a qualquer um, e a consulta é feita pelo servidor da agência.
O que os headers dizem sobre a saúde do seu site
Os headers dizem se o site força a conexão segura e fecha as brechas comuns, uma camada de proteção que o visitante sente como confiança mesmo sem enxergar. Depois de ver o que falta, o próximo passo é aplicar no servidor e conferir de novo, passados os 5 minutos do cache.
Um dono de clínica, por exemplo, roda o verificador, encontra na lista o HTTPS sem o header Strict-Transport-Security e sem Referrer-Policy, envia a tabela desta página para o responsável pela hospedagem e refaz a checagem até os dois aparecerem na resposta.
Seus dados estão seguros
O processamento da ferramenta acontece diretamente no navegador sempre que possível. Nenhum dado sensível precisa ser enviado para solicitar um orçamento ou acessar o conteúdo da página.