Коротка відповідь: щоб перевірити HTTP заголовки онлайн, вставте адресу сторінки в Перевірку HTTP заголовків PromoPilot і натисніть «Перевірити». Інструмент покаже всі заголовки відповіді сервера, оцінку безпеки у відсотках, налаштування кешування, стиснення та CORS, а заразом ланцюжок редиректів до кінцевої адреси. Реєстрація не потрібна. Нижче — які заголовки важливі, як читати результат і що робити першим.
Я дивлюся заголовки на кожному проекті перед здаванням: так ловиться половина «загадкових» проблем – сайт, який не кешується, віддає сторінки без стиснення або забув закріпити HTTPS.
Що показує перевірка заголовків HTTP?
Коли браузер або пошуковий робот запитує сторінку, сервер спочатку відповідає службовими рядками – заголовками – і лише потім віддає HTML. Саме в них написано, як кешувати сторінку, чи вона стиснута, чи можна вбудовувати її в чужий сайт і куди перенаправити відвідувача.
| Група | Що дивиться інструмент | Навіщо це сайту |
|---|---|---|
| Безпека | Content-Security-Policy, Strict-Transport-Security (HSTS), X-Frame-Options | Захист відвідувачів від впроваджених скриптів та заміни, закріплення HTTPS |
| Оцінка | Відсоток настроєних заголовків безпеки | Швидкий орієнтир: стало краще чи гірше після правок |
| Кешування | Cache-Control, Expires, ETag, Last-Modified | Повторні візити вантажаться швидше, сервер розвантажується |
| Стиснення | Content-Encoding (gzip, br) | HTML, CSS та JS важать у рази менше — швидше на мобільному |
| CORS | Access-Control-Allow-Origin та споріднені | Хто може звертатися до вашого API та шрифтів з інших доменів |
| Редиректи | Ланцюжок переходів до кінцевого URL | Зайві кроки уповільнюють завантаження та витрачають бюджет обходу |
Оцінка безпеки – не "SEO-бал". Вона показує, яка частка важливих захисних заголовків дома. Типовий результат для сайту, який ніхто не налаштовував, пропущені CSP і X-Frame-Options.
Перевіряти заголовки варто у трьох випадках: після переїзду на новий хостинг чи CDN, після встановлення плагінів кешування та безпеки та перед запуском реклами, коли кожна секунда завантаження коштує грошей. Інструмент однаково працює для dev-, staging- та робочої версії сайту, якщо адреса відкрита з інтернету.
Як перевірити HTTP заголовки сайту онлайн?
- Відкрийте інструмент. Перевірка HTTP-заголовків працює у браузері – нічого ставити не потрібно.
- Вставте повну адресу протоколу:
https://example.com/catalog/. Одна перевірка – одна URL. - Натисніть кнопку «Перевірити». Відповідь надходить за кілька секунд.
- Перегляньте оцінку безпеки та список відсутніх заголовків.
- Пройдіться по кешу, стиску та CORS, потім по ланцюжку редиректів.
- Виправте налаштування на сервері, CDN або плагіні і перевірте ще раз.
На сторінці інструмента – одне поле для адреси, кнопка перевірки та короткий опис: що аналізується, як користуватися та де обмеження.
У бічному меню видно лічильник перевірок на сьогодні. Гостю вистачає кількох перевірок на день, після безкоштовної реєстрації ліміт зростає втричі, а безліміт дає платний тариф Pro.
Як читати відповідь сервера та що виправити першим?
Не намагайтеся закрити всі пункти одразу. Ідіть від того, що ламає доступність і HTTPS до того, що тільки покращує захист.
- Редиректи. Ланцюжок
http → https → www → /index.php— це три зайві запити. У нормі з будь-якого варіанта адреси потрібен один 301-перехід на кінцеву URL-адресу. - HSTS. Якщо сайт працює тільки за допомогою HTTPS, додайте
Strict-Transport-Security: max-age=31536000. Починайте з невеликогоmax-age, якщо не впевнені, що всі піддоменні на HTTPS. - Стиснення. Немає
Content-Encoding: brабоgzipу HTML - увімкніть стиснення в налаштуваннях сервера або CDN. Це один рядок конфігурації та помітний виграш у швидкості. - Кешування. Для картинок, CSS і JS з версією імені файлу ставте довгий кеш (
Cache-Control: public, max-age=31536000, immutable), для HTML — короткий чиno-cache. - X-Frame-Options та CSP.
X-Frame-Options: SAMEORIGINзакриває вбудовування сторінки в чужий кадр. CSP налаштовуйте обережно: сувора політика легко ламає аналітику та віджети, тому спочатку увімкніть режимContent-Security-Policy-Report-Only. - CORS.
Access-Control-Allow-Origin: *на API з особистими даними – помилка. Вказуйте конкретні домени.
Часта пастка - Cache-Control: no-store на всьому сайті після встановлення плагіна безпеки. Сайт працює, але кожен візит завантажується як перший.
Ось як виглядає відповідь добре налаштованої сторінки - орієнтир, з яким зручно порівнювати свій результат:
HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:
Код відповіді 200, сторінка стиснута Brotli, HTML не кешується надовго, HTTPS закріплений на рік, а вбудовування в чужі кадри та заміна типу файлу заборонені. Якщо у вашій відповіді замість 200 коштує 301 або 302, значить, ви перевірили не кінцеву адресу - подивіться ланцюжок редиректів і вставте фінальну URL-адресу.
Порівняння: PromoPilot та альтернативи для перевірки заголовків
Подивитися заголовки можна кількома способами. Кожен зручний у своїй ситуації.
| Інструмент | Що безкоштовно | Обмеження | Кому підходить |
|---|---|---|---|
| PromoPilot — Перевірка HTTP-заголовків | Всі заголовки, оцінка безпеки, кеш, стиск, CORS, ланцюжок редиректів | Один URL за перевірку, денний ліміт гостя | Швидко перевірити свій або чужий сайт без встановлення |
| securityheaders.com | Літерна оцінка заголовків безпеки | Тільки безпека, без кешу та стиску | Тим, хто налаштовує саме захист |
| Chrome DevTools, вкладка Network | Заголовки кожного запиту сторінки | Потрібно знати, де шукати; без оцінки та підказок | Розробникам під час налагодження |
| curl -I у терміналі | Сирі заголовки відповіді | Командний рядок, без інтерпретації | Адміністраторам серверів |
Висновок: для разової перевірки зі зрозумілою оцінкою та підказками зручніший онлайн-інструмент, а DevTools і curl хороші, коли ви вже знаєте, що шукаєте. Securityheaders.com доповнює перевірку, якщо завдання лише захист.
У PromoPilot це лише один із 87 безкоштовних SEO-інструментів: поряд є перевірка SSL-сертифікату, редиректів та DNS-записів – їм присвячені сусідні статті цього розділу.
Обмеження перевірки заголовків: що інструмент не покаже?
Перевірка дивиться на заголовки одного URL, а не всього сайту. Якщо у головній все налаштовано, це не означає, що відповідає картка товару або файл з папки /uploads/.
Частина заголовків додається на рівні CDN або проксі і може залежати від шляху і навіть регіону, звідки надійшов запит. Тому результат іноді відрізняється від того, що ви бачите у браузері у себе. Якщо правило CDN налаштоване лише для /blog/*, інші розділи його не отримають.
І головне: заголовки – це налаштування, а не вміст. Інструмент не перевіряє title, текст та розмітку – для цього є окремі перевірки сторінки.
Ще одне застереження – про зміни. Після зміни конфігурації сервера результат може не оновитися відразу: CDN тримає стару відповідь у кеші. Очистіть кеш CDN або зачекайте кілька хвилин, а потім запустіть повторно.
Коли безкоштовний інструмент мало?
Інструмент чесно скаже, яких заголовків не вистачає. Але додати їх - вже робота з сервером, CDN або движком сайту. Фахівець потрібен, якщо:
- після включення CSP зламалися форми, оплата чи аналітика;
- у різних розділів різні заголовки, і незрозуміло, хто їх виставляє сервер, плагін або CDN;
- сайт повільний, хоча кеш та стиск «увімкнені»;
- у вас немає доступу до сервера, а хостинг відповідає шаблонним листам.
Що я можу зробити для вашого сайту?
Мене звуть Валерій Данюк, я розробник та SEO-фахівець: за 12 років зробив сайти та системи для 200+ клієнтів. Заголовки - та частина SEO, яку клієнти зазвичай не бачать, а я налаштовую в першу чергу.
SEO та просування
- SEO-аудит під ключ: перевіряю сервер, заголовки, редиректи, швидкість та індексацію, а потім виправляю причини, а не симптоми.
- Контент, який наводить клієнтів із пошуку: SEO-блог з ІІ, який пише та публікує статті.
Сайти та інтернет-магазини
- Сайт на WordPress з ІІ-помічником за 299 € та 3 дні – з налаштованим кешем, стисненням та HTTPS з першого дня.
- Сайт на 1001site: SSL на своєму домені випускається і продовжується сам, серверний рендер та прев'ю для соцмереж налаштовані автоматично. Якщо подобається чужий дизайн - сайт з референсу з 1000 + стилів.
CRM, облік та автоматизація
- Агенти електронної комерції замість чат-ботів коли магазину потрібен не просто сайт, а помічник продажів.
- Система обліку з інтернет-магазином протягом місяця для компанії з Чехії.
Більше проектів – у портфоліо. Надішліть адресу сайту в Telegram - подивлюся заголовки і скажу, що дасть швидкий ефект.
Підсумок
- Перевірка HTTP-заголовків онлайн за секунди показує, як сервер відповідає браузеру та пошуковому роботі.
- Чиніть по порядку: редирект → HSTS → стиск → кеш → X-Frame-Options і CSP → CORS.
- Перевіряйте не лише головну: CDN та плагіни можуть віддавати різні заголовки різним розділам.
- Якщо налаштування сервера недоступні або конфліктують, простіше передати завдання фахівцеві або зібрати сайт на 1001site, де HTTPS та рендер уже налаштовані.
Перевірте свою головну прямо зараз: запустіть безкоштовну перевірку HTTP-заголовків, а з незрозумілим результатом напишіть мені в Telegram.
Джерела
- Сторінка інструмента «Перевірка HTTP-заголовків» PromoPilot – список перевірок та обмеження.
- securityheaders.com – опис оцінки заголовків безпеки.
- Документація Chrome DevTools – панель Network та перегляд заголовків.
