Examinez statut, durée et en-têtes de la réponse HEAD existante. Les champs répétés gardent leur ordre et la casse des valeurs.
Méthode, limites et données
Les noms sont insensibles à la casse ; les valeurs ne le sont pas toutes. L’indicateur de présence de sept noms est plafonné à 100 et ne juge pas la qualité des politiques. Les exemples et textes de référence sont illustratifs, pas des mesures actuelles ni des garanties de disponibilité, de précision ou de conservation des journaux.
L’URL est envoyée au site. Dix URL sont conservées dans l’historique local effaçable. La copie contient le rapport complet même lorsque la liste affichée est filtrée.
Mode d’emploi
- Saisissez l’URL puis consultez la réponse.
- Filtrez les noms ou les valeurs avec leur casse exacte ; copiez le rapport complet et effacez l’historique si besoin.
Deux Set-Cookie restent distincts. AUDIT trouve X-Audit ; la valeur AbC n’est pas convertie en abc.
Une note de 100 garantit-elle la sécurité ?
Non : elle indique seulement la présence de sept noms. Un nom répété compte une fois ; les valeurs doivent être examinées séparément.
Une saisie vide ou invalide efface la réponse précédente. Un refus ou un délai dépassé ne signifie ni mesure nulle ni absence de données. Une réponse tardive ne remplace pas la nouvelle recherche ; relancez lorsque vous êtes prêt.
Textes de référence, relevé du 27 octobre 2026 ; aucun contrôle de service en direct.
Vérificateur d'en-têtes HTTP
Examinez statut, durée et en-têtes de la réponse HEAD existante. Les champs répétés gardent leur ordre et la casse des valeurs. Lisez les champs réellement reçus pour cette requête. Le nombre, les valeurs et le pourcentage de présence de sept noms peuvent varier. La présence ne valide pas les politiques et ne certifie pas la sécurité ; aucun domaine d’exemple ne garantit un nombre ou pourcentage actuel.
Présence des en-têtes ; aucune certification de sécurité.
Response Headers
Recent
Copié
Échec de la copie. Sélectionnez le résultat et copiez-le manuellement.
Outils populaires
À propos de Vérificateur d'en-têtes HTTP
Examinez statut, durée et en-têtes de la réponse HEAD existante. Les champs répétés gardent leur ordre et la casse des valeurs.
Lisez les champs réellement reçus pour cette requête. Le nombre, les valeurs et le pourcentage de présence de sept noms peuvent varier. La présence ne valide pas les politiques et ne certifie pas la sécurité ; aucun domaine d’exemple ne garantit un nombre ou pourcentage actuel.
Les noms sont insensibles à la casse ; les valeurs ne le sont pas toutes. L’indicateur de présence de sept noms est plafonné à 100 et ne juge pas la qualité des politiques.
L’URL est envoyée au site. Dix URL sont conservées dans l’historique local effaçable. La copie contient le rapport complet même lorsque la liste affichée est filtrée.
Deux Set-Cookie restent distincts. AUDIT trouve X-Audit ; la valeur AbC n’est pas convertie en abc.
Cas d'utilisation
Comment utiliser
Saisissez l’URL puis consultez la réponse.
Filtrez les noms ou les valeurs avec leur casse exacte ; copiez le rapport complet et effacez l’historique si besoin.
Lisez l’audit des en-têtes de sécurité : une coche montre la valeur de l’en-tête, une croix indique ce que l’en-tête manquant aurait fait.
Parcourez la liste des en-têtes de réponse, en la réduisant avec le champ Filter headers si la réponse est longue.
Cliquez sur Copy pour récupérer l’ensemble en texte ; Recent conserve vos dix dernières adresses et Clear vide cette liste.
Astuces Pro
- Lisez les champs réellement reçus pour cette requête. Le nombre, les valeurs et le pourcentage de présence de sept noms peuvent varier. La présence ne valide pas les politiques et ne certifie pas la sécurité ; aucun domaine d’exemple ne garantit un nombre ou pourcentage actuel.
- Les huit pastilles de sites lancent la vérification au clic : c’est le moyen le plus rapide d’obtenir une réponse de référence à comparer avec la vôtre.
- Une note élevée n’est pas un audit : elle compte sept noms d’en-têtes et rien de leurs valeurs, donc une Content-Security-Policy en unsafe-inline est comptée comme présente.
- Les serveurs en HTTP/2 envoient les noms de champs en minuscules : la liste affiche donc strict-transport-security et non Strict-Transport-Security — l’audit compare sans tenir compte de la casse, la coche apparaît quand même.
- Recent garde les dix dernières adresses dans le stockage de votre navigateur et non sur le serveur ; Clear l’efface, et une fenêtre privée repart de zéro.
Dépannage
La vérification répond « Private/reserved IP addresses are not allowed ».
C’est volontaire. La requête part du serveur de ce site : autoriser les adresses privées reviendrait à laisser la page sonder des réseaux internes pour le compte de quelqu’un. Tout ce qui relève de 127.x, 10.x, 172.16-31.x ou 192.168.x est refusé. Pour lire les en-têtes d’un appareil de votre réseau local, passez par l’onglet Réseau des outils de développement.
La vérification répond « Connection failed: Could not resolve host ».
Le nom d’hôte n’a pas été résolu : vérifiez l’orthographe et assurez-vous d’avoir saisi un domaine et non une phrase de recherche. Si le domaine est récent, le DNS peut ne pas être propagé. Le même message apparaît pour un domaine expiré ou dépourvu d’enregistrement A.
La note de sécurité affiche 0 % alors que le site fonctionne.
Lisez les champs réellement reçus pour cette requête. Le nombre, les valeurs et le pourcentage de présence de sept noms peuvent varier. La présence ne valide pas les politiques et ne certifie pas la sécurité ; aucun domaine d’exemple ne garantit un nombre ou pourcentage actuel.
Les en-têtes affichés ne correspondent pas à ceux des outils de développement de Chrome.
Ce sont deux requêtes différentes. Cette page interroge depuis un client neutre, sans cookies, sans extensions et avec un autre agent utilisateur, tandis que les outils montrent votre propre session. Une réponse qui varie selon Accept-Language, Accept-Encoding ou un cookie de connexion diffère légitimement : regardez l’en-tête vary.
La liste des en-têtes se vide quand je tape dans le filtre.
Filter headers compare votre texte au nom du champ et à sa valeur, en minuscules, et masque tout le reste. Un terme comme « security » ne laisse que les en-têtes de politique, et une faute de frappe ne laisse rien. Videz le champ pour retrouver la liste complète.
Questions fréquemment posées
Les en-têtes sont des champs nom/valeur décrivant une réponse. La page affiche ceux reçus par ce serveur, y compris les noms répétés ; aucun nombre n’est fixe pour un domaine.
Saisissez une URL HTTP(S) publique et lancez la vérification. Le serveur envoie une seule requête HEAD et affiche le statut, les champs reçus et un indicateur de présence qualifié ; il n’effectue pas un audit de sécurité complet.
Lisez les champs réellement reçus pour cette requête. Le nombre, les valeurs et le pourcentage de présence de sept noms peuvent varier. La présence ne valide pas les politiques et ne certifie pas la sécurité ; aucun domaine d’exemple ne garantit un nombre ou pourcentage actuel.
Ouvrez les outils de développement avec F12, allez dans l’onglet Réseau, rechargez la page, cliquez sur la première requête et lisez le panneau des en-têtes de réponse. Vous y voyez les en-têtes tels que votre navigateur les a reçus, cookies et extensions compris ; cet outil interroge depuis un client neutre, d’où des listes parfois différentes.
Les sept audités ici : Strict-Transport-Security impose HTTPS, Content-Security-Policy restreint ce qui peut être chargé, X-Content-Type-Options empêche la déduction de type MIME, X-Frame-Options interdit l’affichage en cadre, X-XSS-Protection est un filtre hérité, Referrer-Policy contrôle ce qui part dans le champ Referer, et Permissions-Policy limite des fonctions comme l’accès à la caméra.
Lisez les valeurs reçues avec l’indicateur de présence de sept noms. Il compte les noms, pas la validité des valeurs. Aucun domaine ne garantit un pourcentage précis.
Parce que le corps d’une réponse ne dit rien de lui-même. Les en-têtes indiquent au navigateur la nature du contenu, s’il peut être mis en cache, s’il faudra le récupérer en HTTPS la prochaine fois, quelles origines peuvent exécuter des scripts et si la réponse peut apparaître dans un cadre. Sans eux, le navigateur devine.
Les champs sont affichés sous forme de noms et de valeurs. Les noms ne dépendent pas de la casse ; la casse des valeurs et les champs répétés peuvent compter. La réponse, le protocole et les intermédiaires influencent les champs reçus.
Les en-têtes peuvent révéler des détails opérationnels. Examinez les champs reçus ; un domaine d’exemple ne garantit aucun CDN, réglage ou résultat de confidentialité précis.
Il n’existe pas de nombre fixe d’en-têtes. Il dépend de la réponse, de la méthode, du protocole et des intermédiaires ; les exemples antérieurs ne sont pas des mesures actuelles.
Non : elle indique seulement la présence de sept noms. Un nom répété compte une fois ; les valeurs doivent être examinées séparément.