Праверка HTTP-загалоўкаў анлайн: што адказвае ваш сервер і як гэта выправіць

Кароткі адказ: каб праверыць HTTP-загалоўкі онлайн, устаўце адрас старонкі ў Праверку HTTP-загалоўкаў PromoPilot і націсніце "Праверыць". Інструмент пакажа ўсе загалоўкі адказу сервера, адзнаку бяспекі ў адсотках, налады кэшавання, сціску і CORS, а заадно ланцужок рэдырэктаў да канчатковага адрасу. Рэгістрацыя не патрэбна. Ніжэй - якія загалоўкі важныя, як чытаць вынік і што правіць першым.

Я гляджу загалоўкі на кожным праекце перад здачай: так ловіцца палова «загадкавых» праблем - сайт, які не кэшуецца, аддае старонкі без сціску або забыўся замацаваць HTTPS.

Што паказвае праверка HTTP-загалоўкаў?

Калі браўзэр або пошукавы робат запытвае старонку, сервер спачатку адказвае службовымі радкамі - загалоўкамі - і толькі потым аддае HTML. Менавіта ў іх напісана, як кэшаваць старонку, ці сціснутая яна, ці можна ўбудоўваць яе ў чужы сайт і куды перанакіраваць наведвальніка.

Ацэнка бяспекі – не "SEO-бал". Яна паказвае, якая доля важных ахоўных загалоўкаў на месцы. Тыповы вынік для сайта, які ніхто не наладжваў, – прапушчаны CSP і X-Frame-Options.

Правяраць загалоўкі варта ў трох выпадках: пасля пераезду на новы хостынг або CDN, пасля ўстаноўкі плагінаў кэшавання і бяспекі і перад запускам рэкламы, калі кожная секунда загрузкі каштуе грошай. Інструмент аднолькава працуе для dev-, staging- і працоўнай версіі сайта, калі адрас адкрыты з інтэрнэту.

Як праверыць HTTP-загалоўкі сайта анлайн?

1. Адкрыйце інструмент. Праверка HTTP-загалоўкаў працуе ў браўзэры - нічога ставіць не трэба.
2. Устаўце поўны адрас з пратаколам: https://example.com/catalog/. Адна праверка - адзін URL.
3. Націсніце "Праверыць". Адказ прыходзіць за некалькі секунд.
4. Паглядзіце адзнаку бяспекі і спіс адсутных загалоўкаў.
5. Прайдзіцеся па кэшу, сціску і CORS, затым па ланцужку рэдырэктаў.
6. Выпраўце налады на серверы, у CDN або ў плагіне і праверце яшчэ раз.

На старонцы інструмента - адно поле для адрасу, кнопка праверкі і кароткае апісанне: што аналізуецца, як карыстацца і дзе абмежаванні.

У бакавым меню бачны лічыльнік праверак на сёння. Госцю хапае некалькіх праверак у дзень, пасля бясплатнай рэгістрацыі ліміт расце ўтрая, а безліміт дае платны тарыф Pro.

Як чытаць адказ сервера і што выправіць першым?

Не спрабуйце закрыць усе пункты адразу. Ідзіце ад таго, што ламае даступнасць і HTTPS, да таго, што толькі паляпшае абарону.

1. Рэдырэкты. Ланцужок http → https → www → /index.php – гэта тры лішнія запыты. У норме з любога варыянту адраса патрэбен адзін 301-пераход на канчатковы URL.
2. HSTS. Калі сайт працуе толькі па HTTPS, дадайце Strict-Transport-Security: max-age=31536000. Пачынайце з невялікага max-age, калі не ўпэўненыя, што ўсе паддамены на HTTPS.
3. Сціск. Няма Content-Encoding: br або gzip у HTML - уключыце сціск у наладах сервера або CDN. Гэта адзін радок канфігурацыі і прыкметны выйгрыш у хуткасці.
4. Кешаванне. Для малюнкаў, CSS і JS з версіяй у імі файла стаўце доўгі кэш ( Cache-Control: public, max-age=31536000, immutable), для HTML - кароткі ці no-cache.
5. X-Frame-Options і CSP. X-Frame-Options: SAMEORIGIN закрывае ўбудаванне старонкі ў чужы фрэйм. CSP настройвайце асцярожна: строгая палітыка лёгка ламае аналітыку і фішкі, таму спачатку уключыце рэжым Content-Security-Policy-Report-Only.
6. CORS. Access-Control-Allow-Origin: * на API з асабістымі дадзенымі - памылка. Указвайце канкрэтныя дамены.

Частая пастка - Cache-Control: no-store на ўсім сайце пасля ўсталёўкі плагіна бяспекі. Сайт працуе, але кожны візіт грузіцца як першы.

Вось як выглядае адказ добра настроенай старонкі - арыенцір, з якім зручна параўноўваць свой вынік:

HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:

Код адказу 200, старонка сціснутая Brotli, HTML не кэшуецца надоўга, HTTPS замацаваны на год, а ўбудаванне ў чужыя фрэймы і падмена тыпу файла забароненыя. Калі ў вашым адказе замест 200 варта 301 ці 302, значыць, вы праверылі не канчатковы адрас - паглядзіце ланцужок рэдырэктаў і ўстаўце фінальны URL.

Параўнанне: PromoPilot і альтэрнатывы для праверкі загалоўкаў

Паглядзець загалоўкі можна некалькімі спосабамі. Кожны зручны ў сваёй сітуацыі.

Выснова: для разавай праверкі з зразумелай ацэнкай і падказкамі зручней анлайн-інструмент, а DevTools і curl добрыя, калі вы ўжо ведаеце, што шукаеце. Securityheaders.com дапаўняе праверку, калі задача - толькі абарона.

У PromoPilot гэта толькі адзін з 87 бясплатных SEO-інструментаў: побач ёсць праверка SSL-сертыфіката, рэдырэктаў і DNS-запісаў - ім прысвечаны суседнія артыкулы гэтага раздзела.

Абмежаванні праверкі загалоўкаў: што інструмент не пакажа?

Праверка глядзіць загалоўкі аднаго URL, а не ўсяго сайта. Калі ў галоўнай усё наладжана, гэта не значыць, што гэтак жа адказвае картка тавара ці файл з тэчкі /uploads/.

Частка загалоўкаў дадаецца на ўзроўні CDN ці проксі і можа залежаць ад шляху і нават ад рэгіёна, адкуль прыйшоў запыт. Таму вынік часам адрозніваецца ад таго, што вы бачыце ў браўзэры ў сябе. Калі правіла ў CDN наладжана толькі для /blog/*, іншыя часткі яго не атрымаюць.

І галоўнае: загалоўкі - гэта налады, а не змесціва. Інструмент не правярае title, тэкст і разметку - для гэтага ёсць асобныя праверкі старонкі.

Яшчэ адна агаворка - пра змены. Пасля праўкі канфігурацыі сервера вынік можа не абнавіцца адразу: CDN трымае стары адказ у кэшы. Ачысціце кэш CDN або пачакайце некалькі хвілін, а затым запусціце праверку паўторна.

Калі бясплатнай прылады мала?

Інструмент сапраўды скажа, якіх загалоўкаў бракуе. Але дадаць іх – ужо праца з серверам, CDN ці рухавіком сайта. Спецыяліст патрэбен, калі:

• пасля ўключэння CSP зламаліся формы, аплата ці аналітыка;
• у розных частак розныя загалоўкі, і незразумела, хто іх выстаўляе – сервер, убудова ці CDN;
• сайт павольны, хоць кэш і сціск "уключаны";
• у вас няма доступу да сервера, а хостынг адказвае шаблоннымі лістамі.

Што я магу зрабіць для вашага сайта?

Мяне клічуць Валер Данюк, я распрацоўшчык і SEO-спецыяліст: за 12 гадоў зрабіў сайты і сістэмы для 200+ кліентаў. Загалоўкі - тая частка SEO, якую кліенты звычайна не бачаць, а я наладжваю ў першую чаргу.

SEO і прасоўванне

• SEO-аўдыт пад ключ: правяраю сервер, загалоўкі, рэдырэкты, хуткасць і індэксацыю, а затым выпраўляю прычыны, а не сімптомы.
• Кантэнт, які прыводзіць кліентаў з пошуку: SEO-блог з ІІ, які піша і публікуе артыкулы.

Сайты і інтэрнэт-крамы

• Сайт на WordPress з ІІ-памочнікам за 299 € і 3 дні - з настроеным кэшам, сціскам і HTTPS з першага дня.
• Сайт на 1001site: SSL на сваім дамене выпускаецца і падаўжаецца сам, серверны рэндэр і прэв'ю для сацсетак настроены аўтаматычна. Калі падабаецца чужы дызайн - сайт па рэферэнсе з 1000 + стыляў.

CRM, улік і аўтаматызацыя

• Агенты электроннай камерцыі замест чат-ботаў - калі краме патрэбен не проста сайт, а памочнік продажаў.
• Сістэма ўліку з інтэрнэт-крамай за месяц для кампаніі з Чэхіі.

Больш праектаў – у партфоліё. Дашліце адрас сайта ў Telegram - пагляджу загалоўкі і скажу, што дасць хуткі эфект.

Вынік

1. Праверка HTTP-загалоўкаў онлайн за секунды паказвае, як сервер адказвае браўзэру і пошукаваму робату.
2. Чыніце па парадку: рэдырэкты → HSTS → сціск → кэш → X-Frame-Options і CSP → CORS.
3. Правярайце не толькі галоўную: CDN і плагіны могуць аддаваць розныя загалоўкі розным раздзелам.
4. Калі настройкі сервера недаступныя або канфліктуюць, прасцей перадаць задачу спецыялісту або сабраць сайт на 1001site, дзе HTTPS і рэндэр ужо настроены.

Праверце сваю галоўную прама зараз: запусціце бясплатную праверку HTTP-загалоўкаў, а з незразумелым вынікам - напішыце мне ў Telegram.

Крыніцы

• Старонка інструмента «Праверка HTTP-загалоўкаў» PromoPilot – спіс праверак і абмежаванні.
• securityheaders.com - апісанне ацэнкі загалоўкаў бяспекі.
• Дакументацыя Chrome DevTools - панэль Network і прагляд загалоўкаў.