!\[HTTP-заголовки: анализ и настройка безопасности\](https://usetoolz.ru/article-covers/images/http-zagolovki-analiz-bezopasnosti.webp)

Утилиты

# HTTP-заголовки: анализ и настройка безопасности

!\[UseToolz\](https://usetoolz.ru/favicon.svg)

Александр Михеев

08 марта 2025 · 2 мин. чтения

HTTP-заголовки — метаинформация, которой обмениваются клиент и сервер при каждом запросе. Они управляют кешированием, безопасностью, кодировкой, типом контента и множеством других аспектов взаимодействия. Правильная настройка заголовков критически важна для безопасности и производительности сайта.

## Заголовки безопасности

- **Content-Security-Policy (CSP)** — определяет, откуда можно загружать ресурсы (скрипты, стили, изображения). Защищает от XSS-атак и инъекций вредоносного кода.
- **Strict-Transport-Security (HSTS)** — сообщает браузеру, что сайт доступен только по HTTPS. Предотвращает атаки типа downgrade и cookie hijacking.
- **X-Content-Type-Options: nosniff** — запрещает браузеру «угадывать» MIME-тип файла. Защищает от атак через подмену типа контента.
- **X-Frame-Options** — управляет возможностью встраивания страницы в iframe. Защищает от clickjacking-атак. Значения: DENY, SAMEORIGIN.
- **X-XSS-Protection** — встроенный фильтр XSS в браузере (устаревший, но рекомендуемый для совместимости).
- **Referrer-Policy** — контролирует, какая информация передаётся в заголовке Referer при переходах между страницами.
- **Permissions-Policy** — управляет доступом к API браузера: камера, микрофон, геолокация, акселерометр.

## Заголовки кеширования

- **Cache-Control** — основной механизм управления кешем. Директивы: max-age, no-cache, no-store, public, private.
- **ETag** — уникальный идентификатор версии ресурса. Позволяет проверить, изменился ли файл, без повторной загрузки.
- **Last-Modified** — дата последнего изменения ресурса.
- **Expires** — устаревший заголовок, задающий абсолютную дату истечения кеша.

## CORS-заголовки

Cross-Origin Resource Sharing управляет доступом к ресурсам с других доменов:

- **Access-Control-Allow-Origin** — какие домены могут делать запросы.
- **Access-Control-Allow-Methods** — допустимые HTTP-методы (GET, POST, PUT, DELETE).
- **Access-Control-Allow-Headers** — допустимые заголовки в запросах.

## Как проверить заголовки

HTTP-заголовки можно увидеть в DevTools браузера (вкладка Network) или через командную строку: `curl -I https://example.com`. Наш инструмент выполняет HEAD-запрос и показывает все заголовки ответа в удобном формате.

## Заключение

Проверьте HTTP-заголовки любого сайта с помощью нашего \[инструмента\](https://usetoolz.ru/dev/http-headers). Также проверьте OG-теги через \[Open Graph чекер\](https://usetoolz.ru/seo/og-checker) и DNS-записи через \[DNS Lookup\](https://usetoolz.ru/dev/dns-lookup).

Понравилась статья?

Оцените — это помогает нам делать контент лучше

## Комментарии

Войдите, чтобы оставить комментарий

## Читайте также

!\[УСН: выбор режима и расчёт налога\](https://usetoolz.ru/article-covers/thumbnails/usn-uproshchyonnaya-sistema-nalogooblozheniya.webp) Утилиты

### [УСН: выбор режима и расчёт налога](https://usetoolz.ru/blog/usn-uproshchyonnaya-sistema-nalogooblozheniya)

25.01.2025 · 1 мин. чтения

!\[DNS-записи: типы, назначение и проверка\](https://usetoolz.ru/article-covers/thumbnails/dns-zapisi-domaina-tipy.webp) Утилиты

### [DNS-записи: типы, назначение и проверка](https://usetoolz.ru/blog/dns-zapisi-domaina-tipy)

25.03.2025 · 1 мин. чтения

!\[Калькулятор НДС: как начислить и выделить налог\](https://usetoolz.ru/article-covers/thumbnails/nds-kalkulyator-raschet-naloga.webp) Утилиты

### [Калькулятор НДС: как начислить и выделить налог](https://usetoolz.ru/blog/nds-kalkulyator-raschet-naloga)

10.01.2025 · 2 мин. чтения

triggerFly($event.detail || {}), 180)" @fly-to-works.window="triggerFly($event.detail || {})" class="pointer-events-none fixed inset-0 z-\[90\]">