06 / EN-TÊTESPRÊT
En-têtes de requête
Une sélection sûre des en-têtes reçus par IPNixa.
- État
- Non testé
Test headers HTTP : en-têtes de sécurité d’une URL
Saisissez l’adresse d’un site pour tester ses en-têtes de sécurité et obtenir des correctifs prêts à copier pour nginx, Apache ou Cloudflare Pages. Voyez les en-têtes de requête que votre navigateur a réellement envoyés, tels que le serveur les a reçus, et corrigez l’erreur « Request Header Or Cookie Too Large ».
- Test des en-têtes de sécurité de toute URL publique
- Correctifs prêts à copier pour nginx, Apache et _headers
- Vos vrais en-têtes de requête, tels que reçus par le serveur
NIXA / RAPPORT DE CONNEXION
Vos en-têtes de requête, tels que reçus par le serveur
Chargé automatiquement depuis la requête de ce navigateur. Les cookies et identifiants ne sont jamais affichés.
Prêt quand vous l’êtes. Les résultats restent sur cette page.
Les résultats décrivent les requêtes envoyées à IPNixa depuis ce navigateur. Cet outil ne conserve aucun historique d’analyse.
Testez les en-têtes de sécurité de n’importe quel site
Saisissez une URL : IPNixa lit ses en-têtes de réponse en une seule requête. Vous pouvez aussi coller des en-têtes copiés depuis les outils de développement ou curl. Six en-têtes de sécurité sont examinés, et chaque en-tête manquant est accompagné d’une ligne prête à copier pour nginx, Apache ou un fichier _headers.
Outils de développement → Réseau → choisir le document → En-têtes de réponse → copier les en-têtes bruts. Avec curl : curl -I https://example.com. Maximum 32 Ko ; si plusieurs blocs de réponse HTTP sont collés, seul le dernier est analysé.
Prêt à analyser les en-têtes collés.
Il s’agit d’une analyse limitée des en-têtes, pas d’un scan de vulnérabilités ni d’une note de sécurité. Des en-têtes peuvent être absents pour des raisons légitimes. Une CSP peut dépendre de nonces, de hachages, du document et de plusieurs politiques ; Permissions Policy et les en-têtes d’isolation dépendent de l’application. HSTS n’a de sens qu’en HTTPS.
Le test d’une URL n’envoie que cette adresse au serveur d’IPNixa, qui effectue une requête HEAD (GET si nécessaire) et ne renvoie que les en-têtes examinés, Server et Content-Type ; rien n’est conservé. Le texte collé reste dans cet onglet. Les cookies, les identifiants et les champs sans rapport sont exclus des résultats et du rapport. Aucune valeur collée ni donnée graphique n’est envoyée aux outils d’analyse.
Comment vérifier les en-têtes HTTP
- Saisissez l’adresse d’un site et sélectionnez « Vérifier les en-têtes », ou collez des en-têtes de réponse que vous avez déjà.
- Repérez les en-têtes de sécurité présents et copiez le correctif de ceux qui manquent.
- Vos propres en-têtes de requête se chargent automatiquement. Relancez le test dans un autre navigateur ou avec un autre réglage de confidentialité pour comparer.
Corriger « 400 Request Header Or Cookie Too Large »
Cette erreur signifie que les cookies enregistrés par un site dans votre navigateur dépassent la taille acceptée par son serveur. Effacez uniquement les cookies de ce site : dans Chrome ou Edge, sélectionnez l’icône à gauche de l’adresse, puis Cookies et données des sites, et supprimez-les ; dans Firefox, sélectionnez le cadenas, puis Effacer les cookies et les données de site ; dans Safari, ouvrez Réglages, Confidentialité, Gérer les données de sites web. Une nouvelle connexion au compte recrée en général des cookies plus légers. Les propriétaires du site peuvent relever la limite du serveur, par exemple large_client_header_buffers dans nginx.
Voir les en-têtes dans Chrome, Edge ou Firefox
Appuyez sur F12, ouvrez l’onglet Réseau, rechargez la page et sélectionnez la première requête. La section En-têtes affiche les en-têtes de requête envoyés par votre navigateur et les en-têtes de réponse renvoyés par le site.
Ce que lit le test des en-têtes
Il s’agit des en-têtes autorisés de la requête d’inspection, tels que reçus par notre Worker. Les requêtes de navigation, d’images ou cross-origin peuvent envoyer des en-têtes différents, et Cloudflare peut normaliser certaines valeurs comme Accept-Encoding. Les en-têtes Cookie, Authorization et non reconnus ne sont jamais renvoyés par cet outil. L’absence de signaux de confidentialité ne prouve pas que le pistage est activé.
Vérifier les en-têtes en ligne de commande
Affichez les mêmes en-têtes avec curl. Remplacez example.com par le site à vérifier.
- En-têtes de réponse seuls (requête HEAD)
curl -I https://example.com- En-têtes de réponse d’un chargement de page normal
curl -sD - -o /dev/null https://example.com- En-têtes de requête et de réponse ensemble
curl -v -o /dev/null https://example.com
Cet outil affiche-t-il tous les en-têtes de requête ?
Non. Seul un ensemble fixe d’en-têtes liés au navigateur, à la langue, à la négociation de contenu et à la confidentialité est renvoyé. Les identifiants de connexion et les autres en-têtes potentiellement sensibles sont exclus.