Vérificateur d’en-têtes HTTP

Ce que dit le serveur avant d'afficher la page

Avant d'envoyer la moindre image ou le moindre texte, le serveur répond au navigateur par quelques lignes courtes appelées en-têtes HTTP : code de statut, type de contenu, durée de mise en cache, consignes de sécurité, et d'autres encore. Le visiteur ne les voit pas, mais elles décident de la façon dont votre site se charge, se protège et se fait indexer. Le vérificateur d'en-têtes HTTP de Jood vous les montre tels quels.

Mode d'emploi

1. Collez l'adresse complète dans le champ « Saisissez l'URL de la page », avec https:// ou http:// au début.
2. Cliquez sur « Commencer ».
3. Vous voyez le « Code de statut HTTP » et le « Temps de réponse », puis tous les en-têtes tels que le serveur les a envoyés.

L'outil demande uniquement les en-têtes, sans le contenu de la page, et ne suit pas les redirections : vous voyez la réponse de l'adresse exacte que vous avez tapée. Si vous entrez la version http:// d'un site qui redirige vers https, vous verrez le code 301 et l'en-tête Location avec la nouvelle adresse.

Les en-têtes à regarder

• Location : la destination d'une redirection 301 ou 302. Vérifiez qu'elle pointe vers la bonne adresse.
• X-Robots-Tag : s'il contient noindex, les moteurs de recherche n'indexeront pas la page. Erreur fréquente après la mise en ligne d'un site de test.
• Cache-Control, Expires et Last-Modified : combien de temps le navigateur et les intermédiaires gardent une copie de la page.
• Content-Type : le type de contenu et son encodage, comme text/html; charset=UTF-8. Un mauvais encodage, et les accents s'affichent de travers.
• Strict-Transport-Security, X-Content-Type-Options et X-Frame-Options : des en-têtes de sécurité qui imposent HTTPS, empêchent le navigateur de deviner le type des fichiers et interdisent d'afficher votre site dans un cadre sur un autre site.
• Server et X-Powered-By : ils peuvent révéler le logiciel qui fait tourner votre site et sa version, qu'il vaut souvent mieux masquer.
• Set-Cookie : vérifiez la présence de Secure et HttpOnly sur les cookies sensibles.

À savoir avant de conclure

• Le temps de réponse est mesuré depuis le serveur de Jood et comprend la recherche de l'adresse, la connexion et le chiffrement : c'est un indicateur général, pas la vitesse du site pour vos visiteurs.
• La requête ne demande pas de contenu compressé : ne vous en servez pas pour savoir si la compression gzip est active.
• Certains serveurs répondent différemment à une demande d'en-têtes seuls, avec par exemple le code 405. Essayez alors le vérificateur de code de statut et de redirections, qui retente avec une requête normale.

Pour contrôler le certificat de sécurité, utilisez le vérificateur de certificat SSL.