Kiểm tra HTTP header
Xem các HTTP header mà trình duyệt gửi kèm mọi yêu cầu, và lấy response header của bất kỳ URL nào để kiểm tra chuyển hướng, bộ đệm và thiết lập bảo mật — dữ liệu thô đằng sau những gì website biết về bạn và những gì họ cam kết với trình duyệt của bạn.
Header yêu cầu của bạn
5 header trình duyệt của bạn gửi kèm yêu cầu tải trang này, đúng như máy chủ của chúng tôi nhận được. Giá trị cookie và authorization không bao giờ được hiển thị.
| Header | Giá trị | Nó cho website biết gì |
|---|---|---|
| host | checkmyip.com | Trang bạn yêu cầu; cho phép một máy chủ phục vụ nhiều trang. |
| user-agent | Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com) | Trình duyệt, phiên bản và hệ điều hành. Trình duyệt hiện đại đóng băng một phần giá trị này; chi tiết chuyển sang client hint Sec-CH-UA. |
| accept | */* | Các loại nội dung trình duyệt hiển thị được, theo thứ tự ưu tiên. |
| accept-encoding | gzip, br | Phương pháp nén trình duyệt hiểu được (gzip, br, zstd). |
| connection | Keep-Alive | Quản lý kết nối (keep-alive); không gửi qua HTTP/2 và HTTP/3. |
6 header do mạng edge của chúng tôi thêm vào (không phải trình duyệt của bạn gửi)
Cloudflare, đứng trước trang này, thêm các header này trước khi yêu cầu tới mã của chúng tôi. Các trang khác đứng sau CDN cũng nhận những header tương tự; trình duyệt của bạn không bao giờ gửi chúng.
- cf-connecting-ip
216.73.216.52— Địa chỉ IP công khai của bạn như Cloudflare thấy — đây là nơi trang đọc IP của bạn.- cf-ipcountry
US— Quốc gia mà định vị tại edge của Cloudflare gán cho địa chỉ của bạn.- cf-ray
a4e80277ee0acac0— Mã yêu cầu của Cloudflare; hậu tố là data center đã phục vụ bạn.- cf-visitor
{"scheme":"https"}— Bạn có kết nối tới edge qua https hay không.- x-forwarded-proto
https— Scheme bạn dùng để tới edge.- x-real-ip
216.73.216.52— Địa chỉ của bạn, lặp lại cho phần mềm cần tên header này.
Kiểm tra header phản hồi của bất kỳ URL nào
Chúng tôi tải URL từ máy chủ của mình (chỉ GET, tối đa ba lần chuyển hướng, năm giây mỗi chặng), hiển thị mã trạng thái và header của từng phản hồi, rồi chấm điểm các header bảo mật của phản hồi cuối.
| Header | Trạng thái | Nhận xét |
|---|
| Header | Giá trị |
|---|
Cách chấm theo sáu header mà securityheaders.com tính điểm: đủ sáu header qua HTTPS và không có cảnh báo là A+; mỗi header thiếu trừ một bậc. Lượt tải của chúng tôi tự nhận diện là CheckMyIP-HeaderCheck.
Request header của bạn
Mọi header mà máy chủ của chúng tôi nhận được từ trình duyệt của bạn, đúng như đã gửi. Hầu hết là thương lượng nội dung thông thường; hai loại tiết lộ nhiều hơn mọi người nghĩ.
User-Agent và Accept-Language
Trình duyệt, phiên bản và hệ điều hành, cùng các ngôn ngữ bạn chấp nhận theo thứ tự ưu tiên. Danh sách ngôn ngữ là một trong những tín hiệu fingerprint mạnh hơn và là dấu hiệu VPN kinh điển khi nó không khớp với quốc gia của địa chỉ. Giải mã user agent trên trang user agent.
X-Forwarded-For và Via (dấu hiệu proxy)
Header do các proxy thêm vào dọc đường: Via nêu tên proxy, X-Forwarded-For mang địa chỉ client gốc. Proxy trong suốt của công ty hoặc nhà mạng thêm chúng mà không hỏi bạn; VPN thì không. Nếu bạn thấy địa chỉ thật của mình trong X-Forwarded-For khi đang dùng proxy, proxy đang làm lộ nó.
Kiểm tra response header của một URL
Nhập một URL, chúng tôi tải nó từ máy chủ của mình, đi theo các chuyển hướng, và hiển thị trạng thái cùng header của từng phản hồi. Yêu cầu tới địa chỉ riêng và nội bộ bị từ chối; các lượt tải bị giới hạn tần suất và không bao giờ chạy script.
Chuỗi chuyển hướng
Từng bước từ URL bạn nhập tới trang cuối: HTTP sang HTTPS, www sang tên miền gốc, sửa dấu gạch chéo cuối, chuyển hướng theo vùng. Chuỗi dài tốn thời gian và ảnh hưởng SEO; vòng lặp hoặc chuyển hướng tới một host bất ngờ là cấu hình sai.
Xếp hạng security header
Phản hồi cuối cùng được chấm theo các header bảo vệ khách truy cập.
HSTS, CSP, X-Frame-Options
Strict-Transport-Security ép dùng HTTPS cho các lần truy cập sau; Content-Security-Policy giới hạn nơi script và tài nguyên được tải từ (phòng thủ mạnh nhất trước script bị tiêm); X-Frame-Options hoặc frame-ancestors của CSP ngăn trang bị nhúng vào một frame độc hại. Chúng tôi cũng kiểm tra X-Content-Type-Options, Referrer-Policy và Permissions-Policy. Xếp hạng là một danh sách kiểm tra, không phải kiểm toán bảo mật; thiếu một header là một gợi ý, không phải lỗ hổng.
Câu hỏi thường gặp
Ví dụ về HTTP header?
Content-Type: text/html; charset=utf-8 trong một phản hồi, hoặc Accept-Language: vi-VN,vi;q=0.9 trong một yêu cầu. Header là một tên, dấu hai chấm và một giá trị, mỗi dòng một header, đứng trước phần thân.
Vì sao cần HTTP header?
Chúng mang mọi thứ về một yêu cầu hoặc phản hồi mà không phải nội dung: muốn định dạng gì, có lưu đệm được không, chuyển hướng đi đâu, cookie nào áp dụng, trang được nhúng frame thế nào, client ưu tiên ngôn ngữ nào.
Cách xem HTTP header trong Chrome?
Mở DevTools (F12) › Network, tải lại, bấm vào bất kỳ yêu cầu nào: tab Headers hiển thị request và response header. Trang này hiển thị request header của bạn mà không cần DevTools.
Header có phân biệt chữ hoa thường không?
Tên header không phân biệt chữ hoa thường (content-type bằng Content-Type; HTTP/2 gửi chúng ở dạng chữ thường). Giá trị có thể phân biệt tùy header.
HTTP header có kích thước tối đa không?
Chuẩn không đặt giới hạn cố định; máy chủ tự đặt, thường 8–16 KB cho toàn bộ header. Yêu cầu lớn hơn nhận lỗi 431 hoặc 400.
Làm sao kiểm tra HTTP header của tôi online?
Request header của bạn hiển thị ở đầu trang này. Với response header của một trang, hãy nhập URL của nó vào công cụ kiểm tra.
Cách kiểm tra HTTP response header trong Chrome?
DevTools › Network › bấm vào yêu cầu › Headers › Response Headers. Hoặc nhập URL trên trang này để xem chúng từ góc nhìn máy chủ của chúng tôi, kể cả chuỗi chuyển hướng.
Header yêu cầu được đọc từ chính yêu cầu này và chỉ hiển thị một lần; kiểm tra URL do máy chủ của chính chúng tôi thực hiện, chỉ đọc header (không bao giờ đọc nội dung) và không lưu gì.