Analizador de Cabeceras HTTP Gratis

El HTTP Headers Parser es una herramienta en línea gratuita que analiza e interpreta encabezados HTTP de solicitudes y respuestas. Funciona por completo en tu navegador, sin necesidad de instalación ni registro.

Sí, es completamente gratuito y no requiere registro. Todo el análisis se realiza en el lado del cliente, dentro de tu navegador.

El HTTP Headers Parser muestra el nombre y el valor de cada encabezado, junto con explicaciones sobre las implicaciones de seguridad, el comportamiento de la caché y la negociación de contenido.

Por supuesto. El HTTP Headers Parser procesa todo en el lado del cliente, dentro de tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el HTTP Headers Parser es totalmente adaptable y funciona en smartphones y tabletas. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el HTTP Headers Parser en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

El HTTP Headers Parser admite una amplia variedad de formatos y lenguajes populares. Consulta la interfaz de la herramienta para ver la lista completa de opciones compatibles.

Simplemente introduce tu contenido en el campo correspondiente, ajusta las opciones a tu gusto y la herramienta lo procesará al instante. Luego puedes copiar el resultado al portapapeles o descargarlo.

El HTTP Headers Parser funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

El analizador audita diez cabeceras de seguridad con distinto peso y convierte el resultado en una puntuación de 0 a 100 con una calificación de letra. Content-Security-Policy tiene el mayor peso, seguida de Strict-Transport-Security, mientras que las protecciones contra clickjacking y contra el sniffing de tipos MIME, como X-Frame-Options y X-Content-Type-Options, quedan justo detrás. Cada cabecera se comprueba como aprobada, con advertencia o ausente: una cabecera presente y bien configurada obtiene la puntuación completa, un valor débil obtiene crédito parcial y una ausente no obtiene ninguno. Los totales se traducen en una calificación donde 90 o más es A+, 80 es A, 70 es B, 60 es C, 50 es D y cualquier valor inferior es F. Esto refleja el enfoque de calificación que usan las herramientas del sector, pero se ejecuta enteramente en tu navegador. Pega tus cabeceras de respuesta arriba para ver tu puntuación, tu calificación y exactamente qué comprobaciones se aprobaron.

Las cabeceras de solicitud las envía el navegador o el cliente al servidor y describen la propia solicitud: quién la hace, qué contenido acepta y el contexto general. Algunos ejemplos son Host, User-Agent, Accept, Authorization y la familia Sec-Fetch. Las cabeceras de respuesta las envía de vuelta el servidor y describen la respuesta y cómo debe tratarla el cliente, incluyendo Content-Type, Cache-Control, Set-Cookie y cabeceras de seguridad como Content-Security-Policy y Strict-Transport-Security. Algunas cabeceras, como Content-Type, aparecen en ambas direcciones con significados ligeramente distintos. La distinción importa porque la puntuación de seguridad y la comprobación de cabeceras ausentes solo se aplican a las respuestas, mientras que el análisis de solicitudes sirve para depurar qué envió el cliente. Esta herramienta te permite alternar entre el modo Solicitud y Respuesta para que la categorización y las advertencias coincidan exactamente con lo que estás analizando. Pega tu bloque arriba y elige el modo correspondiente.

El analizador inspecciona cada valor de Set-Cookie y avisa cuando le faltan atributos de protección. Una cookie sin HttpOnly puede ser leída por JavaScript, lo que la expone al robo mediante ataques de cross-site scripting; sin Secure puede viajar por HTTP sin cifrar; y sin SameSite es más vulnerable a la falsificación de solicitudes entre sitios (CSRF). Las cookies de sesión y de autenticación casi siempre deberían llevar los tres atributos, por ejemplo HttpOnly; Secure; SameSite=Strict. La advertencia es un aviso, no un error, ya que algunas cookies necesitan legítimamente ser legibles por scripts, pero para cualquier cookie vinculada al inicio de sesión o a la identidad del usuario, estos atributos son la mejor práctica. La herramienta muestra estos problemas en línea a medida que analiza, para que puedas corregir la cabecera antes de publicar. Pega tu línea de Set-Cookie arriba para ver qué atributos están presentes y cuáles se recomienda añadir.

La referencia ampliamente aceptada es max-age=31536000; includeSubDomains, que indica a los navegadores que usen HTTPS durante un año completo (31.536.000 segundos) en todo el dominio y sus subdominios. Añadir preload por encima de eso hace que el dominio sea elegible para la lista de precarga de los navegadores, que codifica el HTTPS de forma fija para que incluso la primera visita quede protegida. El analizador solo puntúa HSTS como aprobado completo cuando el max-age es de al menos un año e incluye includeSubDomains; un max-age más corto recibe una advertencia, y una cabecera ausente no aprueba. Conviene tener cuidado con includeSubDomains y preload, ya que se aplican a todos los subdominios y son difíciles de revertir, así que confirma primero que todos los subdominios admiten HTTPS. La herramienta te da un valor recomendado listo para copiar e indica si tu cabecera actual cumple los requisitos para preload. Pega tus cabeceras arriba para comprobarlo.

Una Content-Security-Policy restringe desde dónde pueden cargarse scripts, estilos y otros recursos, y es una de las defensas más sólidas contra el cross-site scripting. Las palabras clave 'unsafe-inline' y 'unsafe-eval' abren brechas en esa defensa: 'unsafe-inline' permite scripts y estilos escritos directamente en la página, y 'unsafe-eval' permite ejecutar cadenas de texto como código al estilo eval, algo que los atacantes pueden aprovechar. Como debilitan la protección, el analizador sigue contando como presente una CSP que las incluya, pero la degrada a una advertencia en lugar de una aprobación completa. El patrón más robusto es eliminarlas y permitir solo fuentes de confianza, a menudo usando nonces o hashes para el código en línea que realmente necesites. La herramienta detecta estas palabras clave al analizar y explica su impacto. Pega tu cabecera CSP arriba para ver si pasa sin problemas o genera una advertencia.