پاسخ کوتاه: برای بررسی آنلاین هدرهای HTTP، آدرس صفحه را در ابزار بررسی هدر HTTP PromoPilot قرار دهید و روی «بررسی» کلیک کنید. این ابزار تمام هدرهای پاسخ سرور، رتبهبندی درصد امنیت، ذخیره‌سازی، فشرده‌سازی و تنظیمات CORS و همچنین زنجیره تغییر مسیر به URL نهایی را نمایش میدهد. نیازی به ثبت‌نام نیست. در زیر اطلاعاتی در مورد اینکه کدام هدرها مهم هستند، نحوه خواندن نتایج و چه چیزی را باید ابتدا اصلاح کنید، خواهید یافت.
من قبل از تحویل هر پروژه، هدرهای آن را بررسی می‌کنم: به این ترتیب نیمی از مشکلات «مرموز» را متوجه می‌شوم - سایتی که حافظه پنهان ندارد، صفحات را بدون فشرده‌سازی ارائه میدهد، یا فراموش کرده است که HTTPS را ایمن کند.
بررسی هدرهای HTTP چه چیزی را نشان میدهد؟
وقتی یک مرورگر یا ربات موتور جستجو صفحه‌ای را درخواست میکند، سرور ابتدا با خطوط سرویس - هدرها - پاسخ میدهد و تنها پس از آن HTML را برمی‌گرداند. این هدرها نحوه ذخیره صفحه، فشرده‌سازی آن، امکان جاسازی آن در وب‌سایت دیگر و نحوه هدایت بازدیدکننده به صفحه دیگر را شرح می‌دهند.
| گروه | این ابزار به چه چیزی نگاه میکند؟ | چرا سایت به این نیاز دارد؟ |
|---|---|---|
| ایمنی | سیاست امنیت محتوا، امنیت انتقال دقیق (HSTS)، گزینه‌های X-Frame | محافظت از بازدیدکنندگان در برابر اسکریپتهای جاسازی‌شده و جعل هویت، ایمن‌سازی HTTPS |
| درجه | درصد هدرهای امنیتی پیکربندی شده | مرجع سریع: آیا بعد از ویرایش‌ها بهتر شد یا بدتر؟ |
| ذخیره سازی | کنترل حافظه پنهان، تاریخ انقضا، برچسب زمان، آخرین تغییر | بازدیدهای مکرر سریعتر بارگذاری میشوند، سرور تخلیه میشود |
| فشرده سازی | رمزگذاری محتوا (gzip، br) | HTML، CSS و JS به طور قابل توجهی سبک‌تر و سریعتر در موبایل هستند |
| کورس | کنترل-دسترسی-اجازه-مبدا و موارد مرتبط | چه کسی می‌تواند از دامنه‌های دیگر به API و فونت‌های شما دسترسی پیدا کند؟ |
| تغییر مسیرها | مسیر Breadcrumb به URL نهایی | مراحل اضافی باعث کند شدن بارگذاری و هدر رفتن بودجه خزش میشوند. |
امتیاز امنیتی، «امتیاز سئو» نیست. این امتیاز، درصد هدرهای امنیتی مهم موجود را نشان میدهد. یک نتیجه معمول برای سایتی که پیکربندی نشده است، فقدان CSP و X-Frame-Options است.
سه موقعیت وجود دارد که بررسی هدرها ارزشش را دارد: بعد از انتقال به یک هاست یا CDN جدید، بعد از نصب افزونه‌های ذخیره‌سازی و امنیتی، و قبل از راه‌اندازی تبلیغات، زمانی که هر ثانیه از زمان بارگذاری هزینه دارد. این ابزار برای نسخه‌های توسعه، مرحله‌بندی و تولید یک وب‌سایت به یک اندازه خوب عمل میکند، البته تا زمانی که آدرس از طریق اینترنت قابل دسترسی باشد.
چگونه هدرهای HTTP یک وب‌سایت را به‌صورت آنلاین بررسی کنیم؟
- ابزار را باز کنید. بررسی هدر HTTP در مرورگر شما کار میکند - نیازی به نصب ندارد.
- آدرس کامل را به همراه پروتکل وارد کنید:
https://example.com/catalog/. یک بررسی - یک URL. - روی «بررسی» کلیک کنید. پاسخ ظرف چند ثانیه می‌رسد.
- رتبهبندی امنیتی و لیست هدرهای مفقود شده را مشاهده کنید.
- مراحل کش، فشرده‌سازی و CORS و سپس زنجیره ریدایرکت را طی کنید.
- لطفاً تنظیمات سرور، CDN یا افزونه خود را اصلاح کنید و دوباره بررسی کنید.
صفحه این ابزار شامل یک فیلد آدرس، یک دکمه تأیید و شرح مختصری است: چه چیزی مورد تجزیه و تحلیل قرار می‌گیرد، چگونه از آن استفاده کنیم و محدودیت‌ها.
نوار کناری تعداد چک‌های فعلی را نمایش میدهد. مهمانان می‌توانند روزانه چند چک انجام دهند؛ پس از ثبت‌نام رایگان، این محدودیت سه برابر میشود و طرح پولی Pro تعداد چک‌های نامحدودی را ارائه میدهد.
چگونه پاسخ سرور را بخوانیم و ابتدا چه چیزی را اصلاح کنیم؟
سعی نکنید همه چیز را یکجا حل کنید. از مواردی که دسترسی‌پذیری و HTTPS را مختل میکنند شروع کنید و به مواردی که امنیت را بهبود می‌بخشند، برسید.
- تغییر مسیرها. زنجیره
http → https → www → /index.phpسه درخواست غیرضروری است. معمولاً از هر تغییر آدرس، یک تغییر مسیر 301 به URL نهایی مورد نیاز است. - HSTS. اگر سایت شما فقط از HTTPS استفاده میکند،
Strict-Transport-Security: max-age=31536000را اضافه کنید. اگر مطمئن نیستید که همه زیر دامنه‌ها HTTPS را فعال کرده‌اند، با یکmax-ageکوچک شروع کنید. - فشرده‌سازی. اگر در HTML خود
Content-Encoding: brیاgzipندارید، فشرده‌سازی را در تنظیمات سرور یا CDN خود فعال کنید. همین یک خط پیکربندی می‌تواند سرعت را به میزان قابل توجهی بهبود بخشد. - ذخیره سازی. برای تصاویر، CSS و JS با نسخه موجود در نام فایل، یک حافظه پنهان طولانی (
Cache-Control: public, max-age=31536000, immutable) تنظیم کنید؛ برای HTML، یک حافظه پنهان کوتاه یاno-cache) تنظیم کنید. - گزینه‌های X-Frame و CSP.
X-Frame-Options: SAMEORIGINاز جاسازی صفحه در فریم دیگر جلوگیری میکند. CSP را با دقت پیکربندی کنید: یک سیاست سختگیرانه می‌تواند به راحتی تجزیه و تحلیل‌ها و ابزارک‌ها را مختل کند، بنابراین ابتدا حالتContent-Security-Policy-Report-Onlyرا فعال کنید. - CORS.
Access-Control-Allow-Origin: *برای API های دارای اطلاعات شخصی خطا است. لطفاً دامنه‌های خاص را مشخص کنید.
یک مشکل رایج، Cache-Control: no-store در کل سایت پس از نصب یک افزونه امنیتی است. سایت کار میکند، اما هر بازدید مانند اولین بازدید بارگیری میشود.
در اینجا پاسخ یک صفحه که به خوبی تنظیم شده است، آورده شده است - معیاری برای مقایسه نتایج شما با:
HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:
کد پاسخ ۲۰۰ است، صفحه با روش Brotli فشرده‌سازی شده است، HTML برای مدت طولانی ذخیره نمی‌شود، HTTPS به مدت یک سال قفل شده است و جاسازی در فریمهای دیگر و جایگزینی نوع فایل ممنوع است. اگر کد پاسخ شما به جای 301 302 200 ، شما URL نهایی را بررسی نکرده‌اید - زنجیره ریدایرکت را بررسی کنید و URL نهایی را جایگذاری کنید.
مقایسه: PromoPilot و جایگزین‌هایی برای بررسی تیتر خبر
روش‌های مختلفی برای مشاهده تیترها وجود دارد که هر کدام برای موقعیت خاص خود مناسب هستند.
| ابزار | چی رایگانه؟ | محدودیت‌ها | برای چه کسانی مناسب است؟ |
|---|---|---|---|
| PromoPilot - بررسی‌کننده هدر HTTP | همه هدرها، رتبهبندی امنیتی، حافظه پنهان، فشرده‌سازی، CORS، زنجیره تغییر مسیر | یک URL برای هر چک، محدودیت مهمان روزانه | بدون نیاز به نصب، به سرعت وب‌سایت خود یا شخص دیگری را بررسی کنید |
| securityheaders.com | رتبهبندی حروف سربرگ‌های امنیتی | فقط امنیت، بدون حافظه پنهان یا فشرده‌سازی | برای کسانی که در حال تنظیم حفاظت هستند |
| ابزارهای توسعه کروم، تب شبکه | سربرگ‌های هر درخواست صفحه | باید بدانید کجا را جستجو کنید؛ بدون قضاوت یا راهنمایی | برای توسعه‌دهندگان هنگام اشکال‌زدایی |
| curl -I در ترمینال | هدرهای پاسخ خام | خط فرمان، بدون تفسیر | برای مدیران سرور |
نتیجه‌گیری: برای بررسی یک‌باره با ارزیابی و دستورالعمل‌های واضح، یک ابزار آنلاین راحت‌تر است، در حالی که DevTools و curl زمانی خوب هستند که از قبل می‌دانید به دنبال چه چیزی هستید. اگر هدف شما صرفاً محافظت است، Securityheaders.com این بررسی را تکمیل میکند.
این تنها یکی از ۸۷ ابزار رایگان سئو PromoPilot است: همچنین یک بررسی‌کننده گواهینامه SSL، ریدایرکت‌ها و رکوردهای DNS نیز وجود دارد - این موارد در مقالات این بخش پوشش داده شده‌اند.
محدودیت‌های بررسی‌کننده‌ی هدر: آنچه این ابزار نشان نمی‌دهد
این بررسی به هدرهای یک URL واحد نگاه میکند، نه کل سایت. صرفاً به این دلیل که صفحه اصلی به درستی پیکربندی شده است، به این معنی نیست که صفحه محصول یا فایل موجود در پوشه /uploads/ نیز به همان شیوه پاسخ خواهند داد.
برخی از هدرها در سطح CDN یا پروکسی اضافه میشوند و ممکن است به مسیر و حتی منطقه‌ای که درخواست از آن سرچشمه گرفته است بستگی داشته باشند. بنابراین، نتیجه ممکن است با آنچه در مرورگر خود می‌بینید متفاوت باشد. اگر یک قانون در CDN فقط برای /blog/* پیکربندی شده باشد، سایر بخش‌ها آن را دریافت نخواهند کرد.
و از همه مهم‌تر: عنوان‌ها تنظیمات هستند، نه محتوا. این ابزار عنوان، متن یا نشانه‌گذاری را بررسی نمیکند - برای این موارد بررسی‌های جداگانه‌ای روی صفحه وجود دارد.
یک نکته‌ی دیگر در مورد تغییرات. پس از ویرایش پیکربندی سرور، ممکن است نتیجه بلافاصله به‌روزرسانی نشود: CDN پاسخ قدیمی را در حافظه‌ی پنهان نگه می‌دارد. حافظه‌ی پنهان CDN را پاک کنید یا چند دقیقه صبر کنید، سپس دوباره بررسی را اجرا کنید.
چه زمانی یک ابزار رایگان کافی نیست؟
این ابزار صادقانه به شما می‌گوید کدام هدرها از قلم افتاده‌اند. با این حال، اضافه کردن آنها نیاز به کار با سرور، CDN یا موتور وب‌سایت دارد. در صورت وجود شرایط زیر به یک متخصص نیاز خواهید داشت:
- پس از فعال کردن CSP، فرم‌ها، پرداخت‌ها یا تجزیه و تحلیل‌ها از کار افتادند؛
- بخش‌های مختلف، سرفصل‌های متفاوتی دارند و مشخص نیست چه کسی آنها را تنظیم میکند - سرور، افزونه یا CDN؛
- سایت کند است، اگرچه حافظه پنهان و فشرده‌سازی «روشن» هستند؛
- شما به سرور دسترسی ندارید و شرکت هاستینگ با ایمیل‌های قالب‌دار پاسخ میدهد.
برای وب‌سایت شما چه کاری می‌توانم انجام دهم؟
اسم من والری دانیوک است، من یک توسعه‌دهنده و متخصص سئو هستم: در طول ۱۲ سال گذشته، برای بیش از ۲۰۰ مشتری وب‌سایت و سیستم ساخته‌ام. تیترها بخشی از سئو هستند که معمولاً مشتریان نمی‌بینند، اما من ابتدا آنها را تنظیم می‌کنم.
سئو و تبلیغات
- ممیزی سئوی آماده: من سرور، هدرها، ریدایرکت‌ها، سرعت و ایندکس شدن را بررسی می‌کنم و سپس علل را برطرف می‌کنم، نه علائم را.
- محتوایی که مشتریان را از طریق جستجو جذب میکند: یک وبلاگ سئو مبتنی بر هوش مصنوعی که مقالاتی می‌نویسد و منتشر میکند.
وب‌سایت‌ها و فروشگاه‌های آنلاین
- یک وب‌سایت WordPress با دستیار هوش مصنوعی به قیمت ۲۹۹ یورو و ۳ روز - با قابلیت پیکربندی حافظه پنهان، فشرده‌سازی و HTTPS از روز اول.
- یک وب‌سایت در 1001site: SSL روی دامنه شما به‌طور خودکار صادر و تمدید میشود، رندر سمت سرور و پیش‌نمایش رسانه‌های اجتماعی به‌طور خودکار پیکربندی میشوند. اگر طرح شخص دیگری را می‌پسندید، می‌توانید با استفاده از یکی از بیش از ۱۰۰۰ سبک مرجع، وب‌سایتی ایجاد کنید.
CRM، حسابداری و اتوماسیون
- نمایندگان تجارت الکترونیک به جای چت‌بات‌ها - وقتی یک فروشگاه نه تنها به یک وب‌سایت، بلکه به یک دستیار فروش نیاز دارد.
- یک سیستم حسابداری ماهانه برای یک فروشگاه آنلاین برای یک شرکت از جمهوری چک.
پروژه‌های بیشتری در نمونه کارهای من وجود دارد. آدرس وب‌سایت خود را در Telegram برای من ارسال کنید - من عناوین را بررسی می‌کنم و به شما می‌گویم چه چیزی فوراً به من نتیجه میدهد.
نتیجه
- بررسی آنلاین هدرهای HTTP نحوه پاسخ سرور به مرورگر و ربات جستجو را در عرض چند ثانیه نشان میدهد.
- به ترتیب آن را اصلاح کنید: تغییر مسیرها → HSTS → فشرده‌سازی → حافظه پنهان → گزینه‌های X-Frame و CSP → CORS.
- علاوه بر صفحه اصلی، موارد دیگری را نیز بررسی کنید: CDNها و افزونه‌ها می‌توانند هدرهای مختلفی را به بخش‌های مختلف اختصاص دهند.
- اگر تنظیمات سرور در دسترس نباشد یا متناقض باشد، آسان‌تر است که این کار را به یک متخصص واگذار کنید یا سایت را روی 1001site بسازید ، جایی که HTTPS و رندر از قبل پیکربندی شده‌اند.
همین الان صفحه اصلی خود را بررسی کنید: یک بررسی هدر HTTP رایگان اجرا کنید و اگر سوالی دارید، در Telegram برای من بنویسید.
منابع
- صفحه ابزار بررسی هدر HTTP در PromoPilot - فهرست بررسی‌ها و محدودیت‌ها.
- securityheaders.com - شرح ارزیابی هدر امنیتی.
- مستندات Chrome DevTools - پنل شبکه و هدرهای مشاهده.
