Заголовки ответа сервера
Введите адрес страницы — запросим её так же, как браузер, и покажем код ответа, цепочку редиректов и все заголовки: кэширование, сжатие, HSTS и защиту от XSS и кликджекинга. Подскажем, каких заголовков не хватает.
Проверку выполняет сервер UniSeek в момент запроса. Проверяются только публичные домены, введённые адреса не сохраняются.
API: заголовки ответа сервера
Код ответа и цепочка редиректов страницы, сжатие, кэширование, заголовки безопасности (HSTS, CSP, X-Frame-Options и др.) и флаги cookie. Метод открытый: подключайте его в свои сервисы и сайты.
/tools/api/headers/| Параметр | Обязательный | Описание |
|---|---|---|
url | да | Адрес страницы, например uniseek.ru или https://site.ru/catalog/. Только порты 80 и 443. |
curl "https://uniseek.ru/tools/api/headers/?url=uniseek.ru"Ответ
{"url": "https://uniseek.ru", "final": "https://uniseek.ru/", "status": 200, "ms": 85, "redirects": 1,
"hops": [{"url": "…", "status": 301, …}], "checks": [["ok", "Сжатие gzip включено…"]],
"sec": [{"name": "Strict-Transport-Security", "value": "max-age=…", "level": "ok"}, …], "cookies": [], "headers": [["Server", "nginx"], …]}
- Ключ API не нужен. До 12 запросов в минуту с одного IP (для вошедших в кабинет — больше); при превышении — HTTP 429.
- checks и notes — пары [уровень, текст], уровень ok, warn или bad. Значения cookie скрыты, видны только имена и флаги.
- Проверяются только публичные адреса: внутренние сети, IP-адреса и нестандартные порты — ответ 400. Ответ по адресу кэшируется на 5 минут.
- Заголовок CORS разрешает вызов из браузера с любого сайта.
Все API инструментов — в документации.
Что проверяем
Скорость
Сжатие gzip или brotli уменьшает HTML, CSS и JS в 3–5 раз. Заголовки кэширования позволяют браузеру не скачивать одно и то же при каждом переходе.
Безопасность
HSTS заставляет браузер открывать сайт только по HTTPS, CSP ограничивает чужие скрипты, X-Frame-Options не даёт встроить сайт в чужую страницу. Заголовки добавляют в настройках веб-сервера (nginx, Apache) или CMS.
Утечки
Заголовки Server и X-Powered-By с номерами версий подсказывают злоумышленнику, какое ПО стоит на сервере. Версии лучше скрыть, например server_tokens off в nginx.
Карточки товаров — не один файл, а тысячи
Проверим описания, фото и SEO-теги всего каталога, исправим ошибки нейросетью — 30 дней бесплатно, без привязки карты.
Частые вопросы
Если не нашли ответ — напишите нам.
Введите адрес — покажем код (200, 301, 404, 500…) и всю цепочку перенаправлений до конечной страницы.
В nginx — директивы gzip on и brotli on (нужен модуль), в Apache — mod_deflate или mod_brotli. На многих хостингах это переключатель в панели управления.
Не обязателен, но рекомендуется для любого сайта на HTTPS: без него первый заход по http:// можно перехватить. Начните с max-age на несколько месяцев и включите includeSubDomains, когда все поддомены работают по HTTPS.
Мы показываем только имена и флаги cookie, которые сайт выдаёт новому посетителю, значения скрываем. Ваши собственные cookie браузера в проверку не попадают.
Нет: проверяются только публичные адреса на портах 80 и 443, внутренние сети и IP-адреса — нет.
До 12 в минуту с одного IP, вошедшим в кабинет — больше. Ответ по одному адресу кэшируется на 5 минут.