HTTP 헤더 확인

URL의 HTTP 응답 헤더, 리다이렉트 경로(301/302), 보안 헤더(HSTS/CSP)를 진단합니다. 무료 온라인 도구.

URL을 입력하고 조회하세요.

대기 중

도메인을 입력하고 조회하면 여기에 표시됩니다.

리다이렉트

—

헤더

—

보안 진단

—

성능

—

같은 요청의 curl 명령
—

도구 기능

관련 가이드

리다이렉트 루프 진단법 HTTP 보안 헤더 점검 가이드 SSL 상태와 함께 확인 OWASP
Pro 보안 헤더가 바뀌면 보안 관제가 매일 확인해 메일로 알려 드립니다.

HTTP 보안 헤더 & 리다이렉트 점검

HTTP 리다이렉트 체인(301/302/307)을 추적하고 응답 헤더와 CSP·HSTS·X-Frame-Options·Permissions-Policy·COOP·CORP·COEP 같은 보안 헤더를 확인합니다. 보안 헤더 10개를 보여 주지만 A+~F 등급은 핵심 6개로 매깁니다 — CSP 25, HSTS 20, X-Frame-Options 15, X-Content-Type-Options 15, Referrer-Policy 15, Permissions-Policy 10점 — 그리고 정보 노출 헤더 하나당 3점을 뺍니다. COOP·CORP·COEP와 폐기된 X-XSS-Protection은 표시만 하고 등급에는 반영하지 않습니다. Server, X-Powered-By, X-AspNet 헤더는 정보 노출로 표시합니다.

작동 방식

대상 URL로 요청을 보내 리다이렉트를 최대 10단계까지 따라가며, 단계마다 상태 코드·헤더·이동 대상을 기록합니다. Workers에서 보낸 요청의 응답은 Cloudflare가 server·cf-ray 같은 헤더를 덮어쓰기 때문에, 가능하면 최종 URL의 헤더를 서울 관측 서버에서 다시 읽습니다. 그다음 최종 응답의 보안 헤더를 위 기준으로 채점하고 정보 노출 헤더를 확인합니다. 응답이 심는 쿠키의 Secure·HttpOnly 속성, 최종 HTML이 HTTP로 불러오는 스크립트·이미지(혼합 콘텐츠), 무결성 해시(SRI) 없이 불러오는 공개 라이브러리 CDN 스크립트, 2024년에 탈취된 CDN(polyfill.io 등)의 스크립트도 확인합니다(등급 점수와는 별도).

FAQ

모든 사이트에 필요한 보안 헤더는 무엇인가요?

최소한 Content-Security-Policy(XSS 완화), Strict-Transport-Security(HTTPS 강제), X-Frame-Options(클릭재킹 방지), X-Content-Type-Options(MIME 스니핑 방지)가 필요합니다. A+(95점 이상)를 받으려면 Referrer-Policy와 Permissions-Policy도 있어야 합니다.

301 리다이렉트와 302 리다이렉트의 차이는 무엇인가요?

301은 영구 리다이렉트로 검색 엔진이 새 URL로 링크 가치를 이전합니다. 302는 임시 리다이렉트로 검색 엔진이 원래 URL을 계속 인덱싱합니다. 도메인 이전이나 URL 구조 변경에는 301을, A/B 테스트나 임시 유지보수 페이지에는 302를 사용하세요.

왜 사이트에서 서버 정보가 노출되나요?

Server, X-Powered-By, X-AspNet-Version 같은 헤더가 공격자에게 기술 스택을 노출합니다. 웹 서버 설정에서 제거하세요. nginx: server_tokens off. Apache: ServerTokens Prod와 Header unset X-Powered-By. Express: app.disable('x-powered-by').