Проверка заголовков безопасности
Заголовки безопасности — самое дешёвое усиление сайта: несколько однострочных директив веб-сервера, блокирующих кликджекинг, MIME-сниффинг, даунгрейд протокола и прочее.
Подробнее об инструменте
Проверка загружает страницу и сообщает, какие из шести ключевых заголовков на месте — Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy — и редиректит ли http:// на https://. Понятный вердикт показывает базовый уровень одним взглядом.
Как это работает
- Введите или вставьте один адрес (домен или URL).
- Нажмите «Проверить» — страница сразу откроет результат.
- Читайте вердикт: зелёный — всё хорошо, оранжевый — требует внимания, красный — проблема; рекомендация подскажет, что делать.
Бесплатно: 30 свежих проверок в час с одного IP; повторы в течение 10 минут берутся из кеша и ничего не тратят.
Нужно проверить много доменов сразу?
Массовая версия этого инструмента принимает целый список (по одному адресу на строку), строит живой отчёт и выгружает его в CSV.
Частые вопросы
Все шесть заголовков обязательны?
Нет. HSTS, X-Content-Type-Options и разумный Referrer-Policy — дешёвые дефолты, доступные каждому сайту; CSP — самый мощный, но и самый сложный для легаси-фронтендов — отчёт, падающий только из-за CSP, ещё не авария. Порог в форме позволяет задать свою планку.
Почему некоторые сайты отвечают на HEAD кодом 405?
Немного серверов отвергают HEAD-запросы. Для этой проверки это не страшно: ответ всё равно несёт все заголовки безопасности, а инструмент читает их при любом статусе — сам статус виден в отчёте.
HSTS на дев-поддомене — безопасно?
Осторожно: HSTS с includeSubDomains, закреплённый на корневом домене, делает все поддомены HTTPS-only на весь max-age, и браузеры это помнят. Проверьте, какое значение реально отдаёт сайт — полный заголовок виден в деталях строки.
Что считается «редиректит на HTTPS»?
Запрос по обычному http:// должен вернуть 3xx-редирект на https-адрес — сразу на тот же URL или через хоп канонического хоста (http://site → https://site). Всё остальное считается «без редиректа».
Может ли это сломать мой сайт?
Проверка только читает: отправляются запросы и читаются заголовки, ничего не меняется. Внедрение самих заголовков — отдельная ваша задача, а отчёт позволяет перепрогнать список и убедиться, что каждый заголовок действительно заработал.
Другие быстрые проверки
Проверка домена по чёрным спискам
Проверьте, не в чёрных ли списках домен или IP: Spamhaus, Barracuda, SpamCop, SORBS, SURBL — мгновенный DNSBL-запрос, бесплатно.
Один домен — мгновенный результатПроверка кеш-заголовков
Проверьте кеш-заголовки любого URL онлайн: Cache-Control, max-age, ETag, Last-Modified, Expires — с вердиктом по TTL и рекомендациями.
Один домен — мгновенный результатПроверка HTTP-сжатия
Проверьте онлайн, отдаётся ли URL со сжатием gzip или brotli, и посмотрите измеренную экономию байтов на его реальном содержимом.
Один домен — мгновенный результатПроверка DNS-записей домена
Проверьте DNS-записи любого домена онлайн: A, AAAA, CNAME, MX, NS, TXT с TTL и запросом к своему DNS-серверу. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка срока регистрации домена
Узнайте, когда истекает любой домен: регистратор, даты регистрации и окончания, запас дней и статусы реестра через RDAP/WHOIS. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка HTTP-статуса страницы
Проверьте HTTP-статус любого URL онлайн: редиректы, полная цепочка переходов, конечный адрес и время ответа. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка индексации страницы
Проверьте, может ли страница индексироваться: noindex в мете и X-Robots-Tag, canonical, hreflang — судьба страницы в выдаче.
Один домен — мгновенный результатПроверка SPF, DKIM, DMARC и MX
Проверьте почтовые записи любого домена онлайн: MX, политику SPF и DMARC, селекторы DKIM — защищён ли домен от подделки писем.
Один домен — мгновенный результатПроверка метатегов (Title, Description, H1)
Проверьте метатеги любой страницы онлайн: длины Title и description, H1, meta robots, canonical и hreflang. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка смешанного контента
Проверьте любую HTTPS-страницу на смешанный контент онлайн: http:// скрипты, стили, iframe и изображения, которые браузеры блокируют или понижают. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка Open Graph и Twitter Cards
Проверьте теги Open Graph и Twitter Cards любой страницы: og:title, og:image, twitter:card и другие — готово ли превью для шаринга.
Один домен — мгновенный результатПроверка исходящих и битых ссылок
Проверьте внешние ссылки любой страницы онлайн: какие dofollow, сколько битых (4xx/5xx) — полный список со статусами. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка robots.txt
Проверьте robots.txt любого сайта онлайн: код статуса, размер, директивы Sitemap и не блокирует ли он случайно всех роботов. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка sitemap.xml
Проверьте XML-карту любого сайта онлайн: доступна ли и валидна, сколько в ней URL, насколько свежий lastmod и работают ли дочерние карты индекса.
Один домен — мгновенный результатПроверка SSL-сертификата
Проверьте SSL-сертификат любого домена онлайн: валидность, издатель, дата окончания, запас дней, соответствие домену и список SAN. Бесплатно и мгновенно.
Один домен — мгновенный результатПроверка TTFB — время ответа сервера
Замерьте TTFB (время до первого байта) любого URL онлайн: DNS, соединение и TTFB раздельно, размер HTML и оценку A–F. Бесплатно и мгновенно.
Один домен — мгновенный результат