HTTP Header Inspector

Vad är en HTTP-header

HTTP-headers är nyckel-värdepar som en webbserver skickar med varje svar, före själva innehållet. De styr hur en webbläsare renderar sidan, om den får cacha den, om den får bäddas in i iframes, vilka skript den får köra och om HTTPS måste tvingas.

När en URL begärs returnerar denna inspektor statuskoden, varje response header, hela omdirigeringskedjan, det HTTP-protokoll som använts, det verifierade TLS-certifikatet och en säkerhetsrevision av de viktigaste skyddsheaders.

• Statuskod: 200 OK, 301 Redirect, 404 Not Found, 500 serverfel och så vidare. Färgbadgen visar klassen i ett ögonkast.
• Omdirigeringskedja: Varje hopp från HTTP till HTTPS, från www till bara domän, varje spårarens omdirigering blir synlig.
• Security headers: HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy i ett revisionsblock.
• TLS-verifiering: Certifikat, issuer, giltighet och OpenSSL verify-koden. Självsignerade eller utgångna certifikat blir omedelbart uppenbara.

Vilka security headers varje webbplats ska sätta

Sex headers täcker huvuddelen av vanliga attackvektorer på webben. Att sätta alla sex krymper drastiskt attackytan mot clickjacking, MIME-sniffing-trick, XSS och mixed content.

• Strict-Transport-Security (HSTS): Tvingar HTTPS, hindrar SSL-stripping, med preload-flagga möjlig att tas in i Chromes och Firefoxs preload-listor.
• Content-Security-Policy (CSP): Whitelist över vad skript och stilar får ladda. Det starkaste XSS-skyddet som finns i webbläsaren.
• X-Frame-Options: DENY eller SAMEORIGIN mot clickjacking, alternativt frame-ancestors i CSP.
• X-Content-Type-Options: nosniff: Hindrar webbläsare från att gissa Content-Type och till exempel köra en uppladdad bild som JavaScript.
• Referrer-Policy: strict-origin-when-cross-origin är standardvärdet som skyddar integritet utan att förstöra analytics.
• Permissions-Policy: Stänger av kamera, mikrofon, geolokalisering, USB om sidan inte behöver dem.

Ett A- eller A+-betyg på securityheaders.com kräver alla sex. Denna inspektor visar direkt vilken som saknas.

Förstå HSTS, CSP och CORS

HSTS (Strict-Transport-Security) säger åt webbläsaren att hädanefter bara använda HTTPS för denna domän, även om användaren skriver http://. När det sätts med max-age=63072000 (två år) är sajten HTTPS-only i två år utan att fråga servern. includeSubDomains utökar detta till varje underdomän. preload möjliggör dessutom inkludering i Chromes och Firefoxs preload-listor.

CSP (Content-Security-Policy) är en whitelist: bara explicit tillåtna resurskällor får laddas. default-src 'self' blockerar allt utanför det egna originet. script-src, style-src, img-src, connect-src, frame-src specificerar undantag. Nonce- eller hashbaserade CSPs tillåter dessutom inline-skript säkert. En korrekt inställd CSP är det starkaste XSS-skydd webben erbjuder.

CORS (Cross-Origin Resource Sharing) är inte skydd utan tillåtelse: Access-Control-Allow-Origin anger vilka främmande origins som får läsa svaret. Felkonfigurerat (Access-Control-Allow-Origin: * kombinerat med kakor) öppnar det ett hål, korrekt konfigurerat tillåter det säkra API-anrop från egen SPA.

Omdirigeringskedjor och SEO

Varje omdirigering kostar ett round-trip. En kedja http -> https -> www -> /sv/ summerar till fyra hopp och kan ta över en sekund på en långsam mobiluppkoppling innan själva innehållet ens börjar laddas. Sökmotorer straffar dessutom långa kedjor och förlorar en liten andel länkkraft vid varje hopp.

• 301 vs 302: 301 är permanent och cachas, 302 är tillfällig. Permanenta migrationsomdirigeringar måste använda 301, annars behåller Google den gamla URL:en i indexet.
• Länka direkt: Interna länkar ska alltid peka på den slutliga URL:en, aldrig på en känd omdirigering, annars betalar varje klick ett onödigt hopp.
• Loopdetektering: Mer än 5 hopp eller loopar är felkonfigurationer. Inspektorn avbryter efter 10 omdirigeringar och gör problemet synligt.

En väl strukturerad domän har som mest en omdirigering (HTTP -> HTTPS, eller bare -> www), aldrig fler.

Best practices för Cache-Control

Cache-Control avgör om webbläsare, CDN:er och proxyer får återanvända ett svar. En väl inställd Cache-Control minskar origin-belastning, snabbar upp upprepade besök storleksordningar och förbättrar Core Web Vitals direkt.

• Statiska assets: public, max-age=31536000, immutable för hashade bundle-filer (style.abc123.css). Ett års cache, ingen omvalidering.
• HTML-sidor: no-cache, must-revalidate (varje förfrågan validerar men 304 Not Modified är tillåtet) eller s-maxage=60 för kortlivad CDN-edge-cache.
• Privat innehåll: private, no-store för svar med sessionskakor eller personaliserat innehåll. Låt aldrig en delad cache lagra dessa.
• ETag och Last-Modified: Levererar validatorer för 304 Not Modified-svaret. De sparar bandbredd och sätts gratis av webbservern (NGINX, Apache).

Vanliga felsökningsscenarier

Från verklig praktik, det är detta header inspectorn faktiskt används till:

• Kontrollera CDN-cachestatus: Cloudflare visar cf-cache-status (HIT, MISS, BYPASS), Fastly använder x-cache, KeyCDN x-cache. Direkt synligt i header-blocket.
• Verifiera kakflaggor: Set-Cookie-headers listas med varje attribut. Secure, HttpOnly, SameSite måste vara satta för sessionskakor.
• Verifiera HTTPS-migrering: En http:// indata måste ge en 301 till https:// plus en HSTS-header i det slutliga svaret. Båda synliga i omdirigeringskedjan och revisionen.
• Bot-detekteringsregler: WAFs sätter ofta x-firewall, x-rate-limit-* eller server: cloudflare. Synligt i serverheadern och header-revisionen.
• Isolera TLS-problem: En verify-kod != 0 antyder utgångna eller självsignerade certifikat; issuer-fältet avslöjar omedelbart om Let's Encrypt, Sectigo, DigiCert eller en intern CA används.

KernelHost sätter dessa headers från start

Varje KernelHost webbhotellsplan levererar sin NGINX default vhost redan med HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy och en konservativ CSP påslagen. Kunddomäner behöver inte konfigurera något, värdena kommer automatiskt i svaret.

På KernelHost VPS och dedikerade servrar levererar vårt server-tweak-paket (auto-setup-skript) samma standardkonfiguration, plus per-vhost-overrides via NGINX includes. Att nå A+ på securityheaders.com är ett tvåminutersjobb där.

Integritet

HTTP Header Inspector arbetar fullt serverbaserat på KernelHost-infrastruktur (Frankfurt FRA01, Tyskland). Inga externa API:er, ingen tredjepartsspårning.

• Inmatade URL:er används enbart för den enskilda förfrågan och lagras inte beständigt.
• Målserverns svar renderas i din webbläsare och kastas sedan ur serverminnet.
• Rate-limit-data håller endast en anonym hash av klient-IP i upp till 60 sekunder, för att förhindra missbruk.
• Den utgående förfrågan till mål-URL bär User-Agent KernelHost-Header-Inspector/1.0 och inga kakor eller auth-headers alls.

Vanliga frågor