Araçlar / Network
HTTP Header Analiz
Bir URL'nin HTTP yanıt başlıklarını, güvenlik header'larını ve yönlendirme zincirini inceleyin. HTTP başlıklarını, yönlendirme zincirini ve güvenlik politikalarını (HSTS, CSP, X-Frame-Options) tek sorguda okur — SEO denetimi, CDN hata ayıklama ve güvenlik sertleştirme için idealdir.
İstek ve yanıtın gizli metadata katmanı
HTTP başlıkları, tarayıcı ile sunucu arasında taşınan metadata çiftleridir. Request header'ları (User-Agent, Accept, Cookie) istemcinin kim olduğunu ve ne beklediğini; response header'ları (Content-Type, Cache-Control, Set-Cookie) ise sunucunun ne döndürdüğünü ve tarayıcının bu yanıtı nasıl ele alması gerektiğini tanımlar. Bu araç yalnızca yanıt başlıklarını ve yönlendirme zincirini okur — gövdeyi indirmez.
Güvenlik başlıkları modern web'in omurgasıdır. HSTS tarayıcıyı HTTPS'e kilitler, CSP XSS saldırılarını bloklar, X-Frame-Options clickjacking'i engeller. Bu başlıklar eksikse saldırgan için açık bir kapı bırakmış olursunuz. Kurumsal sertleştirme için sunucu güvenliği paketlerimize göz atabilirsiniz.
HTTP başlıkları hakkında
HSTS tarayıcıya "bu alan adına bir daha asla HTTP üzerinden bağlanma" direktifi verir. İlk HTTPS ziyaretinden sonra max-age süresince tarayıcı tüm istekleri otomatik olarak HTTPS'e yükseltir ve SSL stripping saldırılarını engeller. Tavsiye edilen değer: max-age=63072000; includeSubDomains; preload.
CSP hangi kaynaklardan script, stil, görsel veya iframe yüklenebileceğini whitelist olarak tanımlar. XSS saldırılarında en güçlü savunmadır — inline script çalıştırmayı engeller ve sadece onaylı domain'lerden kaynak yüklemeye izin verir. Nonce veya hash kullanarak güvenli inline script desteklenir.
CORS (Cross-Origin Resource Sharing), bir domain'deki JavaScript'in başka bir domain'deki API'ye istek yapmasını kontrol eder. Access-Control-Allow-Origin hangi origin'lerin erişebileceğini, Access-Control-Allow-Methods hangi HTTP metodlarının kabul edildiğini belirler. "Access-Control-Allow-Origin: *" halka açık API'ler için normaldir; kimlik doğrulamalı endpoint'lerde asla kullanılmamalıdır.
X-Powered-By (ve Server) başlıkları sunucunuzun hangi yazılımı ve sürümü çalıştırdığını ifşa eder (ör. PHP/8.1.2, Express). Saldırganlar bu bilgiyi bilinen zafiyetleri hedef almak için kullanır. Express'te app.disable("x-powered-by"), nginx'te server_tokens off; ile kapatılmalıdır.
Sitenizi sertleştirelim
SEO & güvenlik denetimi için bize yazın; eksik başlıkları, yavaş yanıt sürelerini ve güvenlik açıklarını raporlayalım.