简而言之：要在线检查 HTTP 标头，请将页面地址粘贴到PromoPilot 的 HTTP 标头检查器中，然后点击“检查”。该工具将显示所有服务器响应标头、安全百分比评级、缓存、压缩和 CORS 设置，以及重定向到最终 URL 的链。无需注册。以下内容将介绍哪些标头比较重要、如何解读结果以及首先应该修复哪些问题。
我会在提交每个项目之前检查其标头：这样我就能发现一半的“神秘”问题——例如网站没有缓存、页面未压缩或忘记启用 HTTPS 安全。
检查HTTP标头会显示什么？
当浏览器或搜索引擎机器人请求页面时，服务器首先会返回服务信息（即请求头），然后才会返回 HTML 代码。这些请求头描述了页面的缓存方式、是否压缩、是否可以嵌入到其他网站以及将访问者重定向到哪里。
| 团体 | 该工具会检查哪些内容？ | 网站为什么需要这个？ |
|---|---|---|
| 安全 | 内容安全策略 (Content-Security-Policy)、严格传输安全 (HSTS)、X-Frame-Options | 保护访客免受嵌入式脚本和欺骗攻击，确保 HTTPS 安全 |
| 年级 | 已配置安全标头的百分比 | 快速参考：修改后情况是变好了还是变糟了？ |
| 缓存 | 缓存控制、过期时间、ETag、最后修改时间 | 重复访问加载速度更快，服务器负载更低。 |
| 压缩 | 内容编码（gzip，br） | HTML、CSS 和 JS 的体积明显更小，在移动设备上运行速度更快。 |
| CORS | Access-Control-Allow-Origin 及相关 | 其他域的哪些人可以访问您的 API 和字体？ |
| 重定向 | 指向最终网址的面包屑导航 | 额外的步骤会减慢加载速度并浪费爬行预算。 |
安全评分并非“SEO评分”。它显示的是已配置的重要安全标头的百分比。未配置的网站通常会缺少CSP和X-Frame-Options。
有三种情况值得检查请求头：迁移到新的主机或 CDN 之后、安装缓存和安全插件之后，以及投放广告之前（因为每一秒的加载时间都会影响广告投放成本）。只要网站地址可以从互联网访问，该工具对网站的开发、测试和生产版本都同样有效。
如何在线检查网站的HTTP标头？
- 打开该工具。HTTP 标头检查功能可在浏览器中直接使用，无需安装。
- 输入包含协议的完整地址：
https://example.com/catalog/。一次检查，一个URL。 - 点击“检查”。几秒钟内即可收到回复。
- 查看安全评级和缺失标头列表。
- 依次经过缓存、压缩和 CORS ，然后是重定向链。
- 请更正服务器、CDN 或插件的设置，然后再次检查。
该工具的页面包含一个地址字段、一个验证按钮和一段简短的描述：分析的内容、使用方法和局限性。
侧边栏显示当前消费次数。访客每天可以进行几次消费；免费注册后，消费次数上限增加至三倍，付费的专业版套餐则提供无限次消费。
如何解读服务器响应以及首先应该修复什么问题？
不要试图一次性解决所有问题。先从影响可访问性和 HTTPS 的问题入手，再逐步解决如何提升安全性的问题。
- 重定向。http
http → https → www → /index.php这一条链接会产生三个不必要的请求。通常情况下，任何地址变体只需要一个 301 重定向到最终 URL 即可。 - HSTS。如果您的网站仅使用 HTTPS，请添加
Strict-Transport-Security: max-age=31536000。如果您不确定所有子域名都已启用 HTTPS，请先设置一个较小的max-age。 - 压缩。如果您的 HTML 代码中没有
Content-Encoding: br或gzip，请在服务器或 CDN 设置中启用压缩。只需这一行配置即可显著提升速度。 - 缓存。对于文件名中包含版本号的图像、CSS 和 JS，设置长缓存（
Cache-Control: public, max-age=31536000, immutable）；对于 HTML，设置短缓存或no-cache。 - X-Frame-Options 和 CSP。X
X-Frame-Options: SAMEORIGIN可防止页面被嵌入到其他框架中。请谨慎配置 CSP：严格的策略很容易导致分析和组件失效，因此请先启用Content-Security-Policy-Report-Only模式。 - CORS。对于包含个人数据的 API
Access-Control-Allow-Origin: *是错误的。请指定具体的域名。
一个常见的误区是在安装安全插件后，将整个网站的Cache-Control: no-store 。网站虽然可以正常运行，但每次访问都会像第一次访问一样重新加载。
以下是优化良好的页面响应示例——可作为衡量自身结果的基准：
HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:
响应代码为 200，页面已使用 Brotli 压缩，HTML 不会长时间缓存，HTTPS 已锁定一年，并且禁止嵌入其他框架和文件类型替换。如果您的响应代码是301或302而不是200 ，则说明您尚未检查最终 URL——请检查重定向链并粘贴最终 URL。
对比：PromoPilot 和其他标题检查工具
查看新闻标题的方式有很多种，每种方式都适合不同的情况。
| 工具 | 什么免费？ | 限制 | 它适合哪些人群？ |
|---|---|---|---|
| PromoPilot — HTTP 标头检查器 | 所有标头、安全评级、缓存、压缩、CORS、重定向链 | 每次结账限一个网址，每日访客限额 | 无需安装即可快速检查您或他人的网站 |
| securityheaders.com | 安全抬头的字母评级 | 仅安全，无缓存或压缩 | 对于那些正在设置保护措施的人来说 |
| Chrome 开发者工具，网络选项卡 | 每个页面请求的标头 | 你需要知道去哪里找；无需评判或暗示。 | 对于开发人员来说，调试时 |
| 在终端中使用 curl -I 命令 | 原始响应头 | 命令行，无需解释 | 对于服务器管理员 |
结论：对于需要一次性检查且评估清晰、提示明确的情况，在线工具更为便捷；而如果您已经清楚要查找的内容，DevTools 和 curl 则更为适用。如果您的目标纯粹是安全防护，Securityheaders.com 可以作为补充检查工具。
这只是 PromoPilot 的87 个免费 SEO 工具之一：还有 SSL 证书检查器、重定向和 DNS 记录——这些内容在本节的文章中都有介绍。
头部检查器的局限性：该工具无法显示的内容
该检查仅查看单个 URL 的标头，而非整个网站。即使主页配置正确，也不意味着产品页面或/uploads/文件夹中的文件也会以相同的方式响应。
某些标头是在 CDN 或代理层添加的，并且可能取决于请求的路径甚至来源区域。因此，结果可能与您在浏览器中看到的内容有所不同。如果 CDN 中的某条规则仅针对/blog/*配置，则其他部分将不会收到该规则。
最重要的是：标题是设置，不是内容。该工具不会检查标题、正文或标记——这些内容由单独的页面检查程序负责。
关于更改还有一点需要注意。编辑服务器配置后，结果可能不会立即更新：CDN 会缓存旧的响应。请清除 CDN 缓存或等待几分钟，然后再次运行检查。
免费工具何时会不够用？
该工具会如实告诉你缺少哪些标头。但是，添加这些标头需要与服务器、CDN 或网站引擎进行交互。如果出现以下情况，你需要寻求专业人士的帮助：
- 启用 CSP 后，表单、支付或分析功能出现故障；
- 不同的部分有不同的标题，但还不清楚是谁设置的——服务器、插件还是 CDN；
- 网站速度很慢，尽管缓存和压缩功能已开启；
- 您没有服务器访问权限，主机公司回复的都是模板邮件。
我能为您的网站做些什么？
我叫瓦列里·丹尤克，是一名开发人员和SEO专家：在过去的12年中，我为超过200位客户构建了网站和系统。标题是SEO中客户通常看不到的部分，但我会首先设置它们。
搜索引擎优化和推广
- 一站式 SEO 审核：我检查服务器、标头、重定向、速度和索引，然后修复根本原因，而不是表面症状。
- 通过搜索吸引客户的内容：一个由人工智能驱动的 SEO 博客，可以撰写和发布文章。
网站和网上商店
- 只需 299 欧元，即可在 3 天内拥有一个配备 AI 助手的WordPress网站——从第一天起就配置好缓存、压缩和 HTTPS。
- 在1001site上创建网站：您的域名将自动获得并续订 SSL 证书，服务器端渲染和社交媒体预览功能也将自动配置。如果您喜欢其他人的设计，可以使用 1000 多种参考样式创建网站。
客户关系管理、会计和自动化
- 电子商务代理而非聊天机器人——当商店需要的不仅仅是网站，而是一个销售助理时。
- 为一家捷克共和国公司开发的在线商店的月度会计系统。
我的作品集里还有更多项目。请通过Telegram发送您的网站地址给我——我会查看标题，并告诉您哪些内容能立即产生效果。
结果
- 在线检查 HTTP 标头可以在几秒钟内显示服务器如何响应浏览器和搜索引擎机器人。
- 按以下顺序修复：重定向 → HSTS → 压缩 → 缓存 → X-Frame-Options 和 CSP → CORS。
- 除了首页之外，还要检查其他内容：CDN 和插件可以为不同的部分分配不同的标头。
- 如果服务器设置不可用或相互冲突，则更容易将任务委托给专家或在1001site上构建网站，因为 HTTPS 和渲染已经配置好了。
立即检查您的主页： 运行免费的 HTTP 标头检查，如有任何疑问，请在Telegram上联系我。
来源
- PromoPilot HTTP 标头检查工具页面 - 检查项目和限制列表。
- securityheaders.com - 安全标头评估说明。
- Chrome DevTools 文档 - 网络面板和查看标头。
