Analyseur d'En-têtes HTTP Gratuit

Le HTTP Headers Parser est un outil en ligne gratuit qui analyse et interprète les en-têtes HTTP des requêtes et des réponses. Il fonctionne entièrement dans votre navigateur, sans installation ni inscription.

Oui, il est entièrement gratuit et ne nécessite aucune inscription. Toute l'analyse s'effectue côté client, dans votre navigateur.

Le HTTP Headers Parser affiche le nom et la valeur de chaque en-tête, ainsi que des explications sur les implications de sécurité, le comportement de mise en cache et la négociation de contenu.

Absolument. Le HTTP Headers Parser traite tout côté client, dans votre navigateur. Aucune donnée n'est envoyée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le HTTP Headers Parser est entièrement responsive et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le HTTP Headers Parser dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni page d'inscription ni restriction d'utilisation.

Le HTTP Headers Parser prend en charge un large éventail de formats et de langages populaires. Consultez l'interface de l'outil pour la liste complète des options prises en charge.

Saisissez simplement votre contenu dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil le traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le HTTP Headers Parser fonctionne dans tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

L'analyseur audite dix en-têtes de sécurité pondérés et convertit le résultat en un score de 0 à 100 assorti d'une note. Content-Security-Policy pèse le plus lourd, suivi de Strict-Transport-Security, tandis que les protections contre le clickjacking et le MIME-sniffing comme X-Frame-Options et X-Content-Type-Options arrivent juste derrière. Chaque en-tête est évalué comme conforme, en avertissement ou absent : un en-tête présent et bien configuré rapporte tous les points, une valeur faible rapporte des points partiels, et une absence n'en rapporte aucun. Les totaux correspondent à une note où 90 et plus donne A+, 80 donne A, 70 donne B, 60 donne C, 50 donne D, et en dessous c'est F. Cette approche reprend la logique de notation utilisée par les outils du secteur, tout en s'exécutant entièrement dans votre navigateur. Collez vos en-têtes de réponse ci-dessus pour voir votre score, votre note, et le détail de chaque vérification.

Les en-têtes de requête sont envoyés par le navigateur ou le client au serveur et décrivent la requête elle-même : qui la fait, quel contenu il accepte, et le contexte. On y trouve par exemple Host, User-Agent, Accept, Authorization, et la famille Sec-Fetch. Les en-têtes de réponse sont renvoyés par le serveur et décrivent la réponse ainsi que la façon dont le client doit la traiter, avec Content-Type, Cache-Control, Set-Cookie, et des en-têtes de sécurité comme Content-Security-Policy et Strict-Transport-Security. Certains en-têtes, comme Content-Type, apparaissent dans les deux sens avec un sens légèrement différent. Cette distinction compte car le score de sécurité et la détection des en-têtes manquants ne s'appliquent qu'aux réponses, tandis que l'analyse des requêtes sert surtout à déboguer ce que le client a envoyé. Cet outil permet de basculer entre le mode Requête et le mode Réponse pour que la catégorisation et les avertissements correspondent exactement à ce que vous analysez. Collez votre bloc ci-dessus et choisissez le mode correspondant.

L'analyseur inspecte chaque valeur Set-Cookie et émet un avertissement lorsqu'il manque des attributs de protection. Un cookie sans HttpOnly peut être lu par du JavaScript, ce qui l'expose au vol via des attaques de type cross-site scripting ; sans Secure, il peut transiter en HTTP non chiffré ; et sans SameSite, il est plus vulnérable aux attaques de type cross-site request forgery. Les cookies de session et d'authentification devraient presque toujours porter les trois attributs, par exemple HttpOnly; Secure; SameSite=Strict. L'avertissement est une incitation à corriger, pas une erreur bloquante, car certains cookies doivent légitimement rester lisibles par des scripts, mais pour tout ce qui touche à la connexion ou à l'identité, ces attributs relèvent des bonnes pratiques. L'outil fait remonter ces problèmes directement pendant l'analyse pour que vous puissiez corriger l'en-tête avant la mise en production. Collez votre ligne Set-Cookie ci-dessus pour voir quels attributs sont présents et lesquels sont recommandés.

La référence largement admise est max-age=31536000; includeSubDomains, qui indique aux navigateurs d'utiliser HTTPS pendant une année complète (31 536 000 secondes) pour le domaine et tous ses sous-domaines. Ajouter preload rend en plus le domaine éligible à la liste de préchargement des navigateurs, qui impose HTTPS dès la toute première visite. L'analyseur ne valide entièrement HSTS que lorsque le max-age est d'au moins un an et qu'includeSubDomains est présent ; un max-age plus court déclenche un avertissement, et l'absence de l'en-tête est un échec. Il faut être prudent avec includeSubDomains et preload, car ils s'appliquent à tous les sous-domaines et sont difficiles à annuler rapidement : vérifiez donc d'abord que tous vos sous-domaines supportent HTTPS. L'outil propose une valeur recommandée prête à copier et indique si votre en-tête actuel est éligible au preload. Collez vos en-têtes ci-dessus pour vérifier.

Une Content-Security-Policy restreint les sources autorisées à charger des scripts, des styles et d'autres ressources, ce qui en fait l'une des défenses les plus efficaces contre le cross-site scripting. Les mots-clés 'unsafe-inline' et 'unsafe-eval' créent des brèches dans cette défense : 'unsafe-inline' autorise les scripts et styles écrits directement dans la page, et 'unsafe-eval' permet l'exécution de chaînes de caractères comme du code via eval, deux comportements que des attaquants peuvent exploiter. Parce qu'ils affaiblissent la protection, l'analyseur compte toujours une CSP qui les contient comme présente, mais la rétrograde en avertissement plutôt qu'en validation complète. La meilleure pratique consiste à les supprimer et à n'autoriser que des sources de confiance, souvent via des nonces ou des hashes pour tout code inline réellement nécessaire. L'outil détecte ces mots-clés pendant l'analyse et en explique l'impact. Collez votre en-tête CSP ci-dessus pour voir s'il passe sans problème ou déclenche un avertissement.