Sprawdzanie nagłówków HTTP online: na co odpowiada Twój serwer i jak to naprawić

Krótka odpowiedź: aby sprawdzić nagłówki HTTP online, wklej adres strony do narzędzia PromoPilot HTTP Header Checker i kliknij „Sprawdź”. Narzędzie wyświetli wszystkie nagłówki odpowiedzi serwera, procentowy wskaźnik bezpieczeństwa, ustawienia buforowania, kompresji i CORS, a także łańcuch przekierowań do końcowego adresu URL. Rejestracja nie jest wymagana. Poniżej znajdziesz informacje o tym, które nagłówki są ważne, jak odczytywać wyniki i co należy poprawić w pierwszej kolejności.

Sprawdzam nagłówki każdego projektu przed jego oddaniem: w ten sposób wychwytuję połowę „tajemniczych” problemów — witryn, które nie obsługują pamięci podręcznej, wyświetlają strony bez kompresji lub zapominają o zabezpieczeniu protokołu HTTPS.

Co pokazuje sprawdzenie nagłówków HTTP?

Gdy przeglądarka lub robot wyszukiwarki żąda strony, serwer najpierw odpowiada liniami serwisowymi – nagłówkami – a dopiero potem zwraca kod HTML. Nagłówki te opisują sposób buforowania strony, jej kompresję, możliwość osadzenia na innej stronie internetowej oraz miejsce przekierowania odwiedzającego.

Wynik bezpieczeństwa nie jest „wynikiem SEO”. Pokazuje on odsetek ważnych nagłówków bezpieczeństwa. Typowym wynikiem dla witryny, która nie została skonfigurowana, jest brak CSP i opcji X-Frame.

Istnieją trzy sytuacje, w których warto sprawdzić nagłówki: po przejściu na nowy hosting lub CDN, po zainstalowaniu wtyczek do buforowania i zabezpieczeń oraz przed uruchomieniem reklam, gdy każda sekunda ładowania kosztuje. Narzędzie sprawdza się równie dobrze w wersjach deweloperskich, testowych i produkcyjnych strony internetowej, o ile adres jest dostępny z internetu.

Jak sprawdzić nagłówki HTTP witryny internetowej online?

1. Otwórz narzędzie. Sprawdzanie nagłówka HTTP działa w Twojej przeglądarce — nie wymaga instalacji.
2. Wpisz pełny adres wraz z protokołem: https://example.com/catalog/. Jedno sprawdzenie – jeden adres URL.
3. Kliknij „Sprawdź”. Odpowiedź otrzymasz w ciągu kilku sekund.
4. Zobacz ocenę bezpieczeństwa i listę brakujących nagłówków.
5. Sprawdź pamięć podręczną, kompresję i CORS, a następnie łańcuch przekierowań.
6. Popraw ustawienia na swoim serwerze, CDN lub wtyczce i sprawdź ponownie.

Strona narzędzia zawiera jedno pole adresu, przycisk weryfikacji i krótki opis: co jest analizowane, jak używać i jakie są ograniczenia.

Pasek boczny wyświetla aktualną liczbę kontroli. Goście mogą wykonać kilka kontroli dziennie; po bezpłatnej rejestracji limit jest potrojony, a płatny plan Pro oferuje nieograniczoną liczbę kontroli.

Jak czytać odpowiedź serwera i co należy naprawić w pierwszej kolejności?

Nie próbuj zajmować się wszystkim naraz. Zacznij od tego, co psuje dostępność i protokół HTTPS, a skup się na tym, co poprawia bezpieczeństwo.

1. Przekierowania. Łańcuch http → https → www → /index.php to trzy niepotrzebne żądania. Zwykle z dowolnej odmiany adresu potrzebne jest jedno przekierowanie 301 do ostatecznego adresu URL.
2. HSTS. Jeśli Twoja witryna korzysta wyłącznie z protokołu HTTPS, dodaj Strict-Transport-Security: max-age=31536000. Zacznij od małego max-age jeśli nie masz pewności, czy wszystkie subdomeny obsługują protokół HTTPS.
3. Kompresja. Jeśli nie masz w kodzie HTML opcji Content-Encoding: br lub gzip, włącz kompresję w ustawieniach serwera lub CDN. Ta jedna linijka konfiguracji może znacznie poprawić szybkość.
4. Buforowanie. W przypadku obrazów, plików CSS i JS z wersją w nazwie pliku należy ustawić długi bufor ( Cache-Control: public, max-age=31536000, immutable); w przypadku HTML należy ustawić krótki bufor lub no-cache.
5. Opcje X-Frame i CSP. X-Frame-Options: SAMEORIGIN zapobiega osadzaniu strony w innej ramce. Ostrożnie skonfiguruj CSP: surowe zasady mogą łatwo uszkodzić analitykę i widżety, dlatego najpierw włącz tryb Content-Security-Policy-Report-Only.
6. CORS. Access-Control-Allow-Origin: * w przypadku interfejsów API z danymi osobowymi występuje błąd. Proszę podać konkretne domeny.

Częstą pułapką jest Cache-Control: no-store na całej stronie po zainstalowaniu wtyczki zabezpieczającej. Strona działa, ale każda wizyta ładuje się tak, jakby była pierwszą.

Oto jak wygląda odpowiedź dobrze dostrojonej strony — punkt odniesienia, z którym możesz porównać swoje wyniki:

HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:

Kod odpowiedzi to 200, strona jest skompresowana przez Brotli, kod HTML nie jest buforowany przez długi czas, protokół HTTPS jest zablokowany na rok, a osadzanie w innych ramkach i podmienianie typów plików jest zabronione. Jeśli kod odpowiedzi to 301 lub 302 zamiast 200, nie sprawdziłeś końcowego adresu URL — sprawdź łańcuch przekierowań i wklej go.

Porównanie: PromoPilot i alternatywy dla sprawdzania nagłówków

Istnieje kilka sposobów wyświetlania nagłówków, każdy odpowiedni do konkretnej sytuacji.

Podsumowanie: Do jednorazowej kontroli z jasną oceną i podpowiedziami wygodniejsze jest narzędzie online, natomiast DevTools i curl sprawdzają się, gdy już wiesz, czego szukasz. Securityheaders.com uzupełnia kontrolę, jeśli Twoim celem jest wyłącznie ochrona.

To tylko jedno z 87 bezpłatnych narzędzi SEO firmy PromoPilot. Inne narzędzia obejmują narzędzia do sprawdzania certyfikatów SSL, przekierowania i rekordy DNS — zostały one omówione w artykułach w tej sekcji.

Ograniczenia narzędzia do sprawdzania nagłówków: czego narzędzie nie pokaże

Kontrola obejmuje nagłówki pojedynczego adresu URL, a nie całej witryny. Poprawna konfiguracja strony głównej nie oznacza, że strona produktu lub plik w folderze /uploads/ zareagują tak samo.

Niektóre nagłówki są dodawane na poziomie CDN lub serwera proxy i mogą zależeć od ścieżki, a nawet regionu, z którego pochodzi żądanie. Dlatego wynik może różnić się od tego, co widzisz w przeglądarce. Jeśli reguła w CDN jest skonfigurowana tylko dla /blog/*, inne sekcje jej nie otrzymają.

A co najważniejsze: nagłówki to ustawienia, a nie treść. Narzędzie nie sprawdza tytułu, tekstu ani znaczników – do tego służą osobne kontrole stron.

Jeszcze jedno ostrzeżenie dotyczące zmian. Po edycji konfiguracji serwera wynik może nie zostać zaktualizowany od razu: CDN przechowuje starą odpowiedź w pamięci podręcznej. Wyczyść pamięć podręczną CDN lub odczekaj kilka minut, a następnie ponownie uruchom sprawdzanie.

Kiedy darmowe narzędzie nie wystarcza?

Narzędzie rzetelnie wskaże, których nagłówków brakuje. Jednak ich dodanie wymaga współpracy z serwerem, CDN lub silnikiem strony. Będziesz potrzebować specjalisty, jeśli:

• Po włączeniu CSP przestały działać formularze, płatności i analityka;
• różne sekcje mają różne nagłówki i nie jest jasne, kto je ustala – serwer, wtyczka czy CDN;
• strona działa wolno, mimo że pamięć podręczna i kompresja są włączone;
• Nie masz dostępu do serwera, a firma hostingowa odpowiada Ci szablonowymi wiadomościami e-mail.

Co mogę zrobić dla Twojej strony internetowej?

Nazywam się Walerij Danyuk, jestem programistą i specjalistą SEO. Przez ostatnie 12 lat stworzyłem strony internetowe i systemy dla ponad 200 klientów. Nagłówki to element SEO, którego klienci zazwyczaj nie widzą, ale to ja je tworzę.

SEO i promocja

• Kompleksowy audyt SEO: sprawdzam serwer, nagłówki, przekierowania, szybkość i indeksowanie, a następnie usuwam przyczyny, a nie objawy.
• Treści przyciągające klientów z wyszukiwarki: blog o tematyce SEO oparty na sztucznej inteligencji, który pisze i publikuje artykuły.

Strony internetowe i sklepy internetowe

• Strona internetowa WordPress z asystentem AI za 299 € i 3 dni — ze skonfigurowaną pamięcią podręczną, kompresją i protokołem HTTPS od pierwszego dnia.
• Strona internetowa na 1001site: certyfikat SSL dla Twojej domeny jest wystawiany i odnawiany automatycznie, renderowanie po stronie serwera i podglądy w mediach społecznościowych są konfigurowane automatycznie. Jeśli podoba Ci się projekt innej osoby, możesz stworzyć stronę internetową, korzystając z jednego z ponad 1000 stylów referencyjnych.

CRM, księgowość i automatyzacja

• Agenci e-commerce zamiast chatbotów – gdy sklep potrzebuje nie tylko strony internetowej, ale i asystenta sprzedaży.
• System miesięcznej księgowości dla sklepu internetowego dla firmy z Czech.

Więcej projektów jest w moim portfolio. Wyślij mi adres swojej strony internetowej na Telegram – sprawdzę nagłówki i powiem Ci, co przyniesie mi natychmiastowe rezultaty.

Wynik

1. Sprawdzanie nagłówków HTTP online pozwala w ciągu kilku sekund zobaczyć, jak serwer reaguje na przeglądarkę i robota wyszukującego.
2. Napraw w następującej kolejności: przekierowania → HSTS → kompresja → pamięć podręczna → X-Frame-Options i CSP → CORS.
3. Sprawdź więcej niż tylko stronę główną: sieci CDN i wtyczki mogą przypisywać różne nagłówki różnym sekcjom.
4. Jeśli ustawienia serwera są niedostępne lub powodują konflikt, łatwiej jest powierzyć to zadanie specjaliście lub zbudować witrynę na 1001site, gdzie protokół HTTPS i renderowanie są już skonfigurowane.

Sprawdź swoją stronę główną już teraz: uruchom bezpłatne sprawdzenie nagłówka HTTP, a jeśli masz jakieś pytania, napisz do mnie na Telegram.

Źródła

• Strona narzędzia PromoPilot HTTP Header Checker — lista sprawdzeń i ograniczeń.
• securityheaders.com - Opis oceny nagłówka bezpieczeństwa.
• Dokumentacja Chrome DevTools — panel Sieć i przeglądanie nagłówków.