Trả lời nhanh
Nhập một URL (ví dụ http://vidu.vn) và bấm “Kiểm tra”: công cụ gửi yêu cầu từ máy chủ, đi theo tối đa 5 lần chuyển hướng và hiện mã trạng thái từng bước (301, 302, 200, 404…), toàn bộ header của phản hồi cuối, chấm điểm A–F cho 6 header bảo mật (HSTS, CSP, X-Content-Type-Options, chống nhúng trang, Referrer-Policy, Permissions-Policy) và cảnh báo header để lộ phiên bản phần mềm.
HTTP header là gì?
HTTP header là phần “phong bì” máy chủ gửi kèm mỗi trang: mã trạng thái, chuyển hướng, bộ nhớ đệm, cookie, nén, các chính sách bảo mật. Bạn không thấy chúng trên trình duyệt nhưng chúng quyết định trang có được Google lập chỉ mục đúng, có bị lưu đệm cũ, có an toàn trước XSS hay clickjacking không. Công cụ hữu ích khi chuyển http sang https, đổi tên miền, cài CDN / Cloudflare, cấu hình nginx / .htaccess, hoặc khi kiểm tra bảo mật cơ bản một website.
Cách kiểm tra HTTP header
- 1
Nhập URL đầy đủ, ví dụ http://vidu.vn hoặc https://www.vidu.vn/trang. Thiếu http:// thì công cụ coi là https://.
- 2
Chọn phương thức: GET giống trình duyệt mở trang (mặc định), HEAD chỉ hỏi header, nhẹ hơn nhưng vài máy chủ trả khác GET.
- 3
Bấm “Kiểm tra”. Mục “Chuỗi chuyển hướng” liệt kê từng bước với mã trạng thái, IP và thời gian phản hồi.
- 4
Xem “Điểm header bảo mật” và đọc gợi ý cho từng header còn thiếu hoặc cần xem lại.
- 5
Cuối trang là toàn bộ header của phản hồi cuối; bấm “Sao chép tất cả header” để gửi cho người quản trị máy chủ.
Mã trạng thái HTTP hay gặp
| Mã | Ý nghĩa | Ảnh hưởng SEO / người dùng |
|---|---|---|
| 200 OK | Trả trang bình thường | Được lập chỉ mục |
| 301 Moved Permanently | Chuyển hướng vĩnh viễn | Dùng khi đổi URL, đổi tên miền, http → https; chuyển giá trị SEO sang URL mới |
| 302 / 307 | Chuyển hướng tạm thời | Google có thể giữ URL cũ trong kết quả tìm kiếm |
| 308 Permanent Redirect | Vĩnh viễn, giữ nguyên phương thức | Tương đương 301 cho form / API |
| 304 Not Modified | Nội dung chưa đổi | Trình duyệt dùng bản đệm |
| 403 Forbidden | Bị từ chối | Thường do tường lửa, quyền thư mục, chặn bot |
| 404 Not Found | Không có trang | Trang bị loại khỏi chỉ mục dần dần |
| 410 Gone | Đã xoá hẳn | Loại khỏi chỉ mục nhanh hơn 404 |
| 500 / 502 / 503 / 504 | Lỗi máy chủ / cổng / quá tải / hết thời gian | Kéo dài sẽ ảnh hưởng thứ hạng |
Header bảo mật được chấm điểm
| Header | Chống lại | Giá trị gợi ý |
|---|---|---|
| Strict-Transport-Security | Bị ép quay về http, nghe lén | max-age=31536000; includeSubDomains |
| Content-Security-Policy | XSS, chèn script lạ | default-src 'self' (điều chỉnh theo trang); frame-ancestors 'self' |
| X-Content-Type-Options | Trình duyệt đoán sai kiểu tệp | nosniff |
| X-Frame-Options / frame-ancestors | Clickjacking (nhúng trang vào iframe) | SAMEORIGIN hoặc frame-ancestors 'self' |
| Referrer-Policy | Lộ URL đầy đủ sang trang khác | strict-origin-when-cross-origin |
| Permissions-Policy | Iframe / script dùng camera, micro, vị trí | camera=(), microphone=(), geolocation=() |
Mỗi header đạt “Tốt” được 2 điểm, “Cần xem lại” 1 điểm, tối đa 12: A từ 11, B từ 9, C từ 6, D từ 3, còn lại F.
Ví dụ thực tế
Kiểm tra chuyển http sang https
Nhập http://vidu.vn: chuỗi đúng là 301 → https://vidu.vn/ → 200. Nếu thấy 302 hoặc 2–3 bước (http → https → www → không www) thì nên gộp lại thành một 301 duy nhất.
Trang mới đổi URL vẫn bị Google giữ URL cũ
Chuỗi cho thấy 302 thay vì 301: chuyển hướng tạm thời. Sửa trong .htaccess thành R=301 hoặc trong nginx thành return 301.
Bật header bảo mật trên nginx
Thêm add_header X-Content-Type-Options nosniff always; add_header Referrer-Policy strict-origin-when-cross-origin always; rồi tải lại nginx và kiểm tra lại: điểm tăng ngay.
Biết website có đi qua CDN không
Header cf-ray, server: cloudflare cho thấy trang đi qua Cloudflare; x-cache, age cho biết bản đệm của CDN.
Lỗi thường gặp
- Báo “quá 5 lần chuyển hướng” hoặc “chuyển hướng vòng lặp”.
- Thường do plugin SSL / WordPress và Cloudflare cùng ép https (chế độ Flexible). Đặt Cloudflare SSL ở Full (strict) và chỉ giữ một nơi chuyển hướng.
- Đã thêm header trong .htaccess nhưng không thấy.
- Máy chủ có thể chạy nginx (không đọc .htaccess), hoặc mod_headers chưa bật, hoặc CDN đang trả bản đệm cũ. Kiểm tra header server và xoá đệm CDN.
- HEAD và GET cho kết quả khác nhau.
- Một số máy chủ, tường lửa xử lý HEAD khác hoặc trả 405. Kết quả GET phản ánh đúng những gì trình duyệt nhận.
- Bị báo “đích là địa chỉ nội bộ”.
- Vì an toàn, công cụ không gửi yêu cầu tới IP nội bộ, localhost hay dải dành riêng, kể cả khi trang công khai chuyển hướng về đó.
- CSP chặn mất script sau khi bật.
- Bắt đầu bằng Content-Security-Policy-Report-Only để xem vi phạm mà chưa chặn, rồi mới chuyển sang CSP thật.
Công cụ gửi gì và an toàn ra sao
Máy chủ của Công Cụ Nhanh phân giải tên miền, chỉ kết nối khi mọi IP đều là IP công khai, rồi gửi một yêu cầu HTTP/1.1 tới đúng IP đó ở cổng 80 hoặc 443, chỉ đọc phần header (tối đa 64 KB) rồi đóng kết nối. Mỗi lần chuyển hướng được kiểm tra lại từ đầu, tối đa 5 lần.
Công cụ không gửi cookie, không đăng nhập, không tải nội dung trang, không lưu URL bạn kiểm tra; mỗi IP được kiểm tra tối đa 20 lần trong 5 phút.
Header lộ thông tin phần mềm
Header như Server: nginx/1.18.0 hay X-Powered-By: PHP/7.4 cho kẻ tấn công biết chính xác phiên bản để tìm lỗ hổng tương ứng. Nên ẩn số phiên bản: server_tokens off; trong nginx, ServerTokens Prod trong Apache, expose_php = Off trong php.ini.
Thuật ngữ
- HTTP header
- Các dòng “Tên: giá trị” máy chủ gửi trước nội dung trang.
- Chuyển hướng (redirect)
- Phản hồi 3xx kèm header Location chỉ tới địa chỉ mới.
- HSTS
- HTTP Strict Transport Security (RFC 6797): yêu cầu trình duyệt chỉ dùng https với tên miền trong thời gian max-age.
- CSP
- Content Security Policy: danh sách nguồn được phép tải script, ảnh, khung… để hạn chế XSS.
- Clickjacking
- Nhúng trang của bạn vào iframe trong suốt để lừa người dùng bấm.
- CDN
- Mạng phân phối nội dung, lưu đệm trang gần người dùng (Cloudflare, BunnyCDN…).
Câu hỏi thường gặp
Làm sao biết website chuyển hướng 301 hay 302?
Nhập URL cũ và xem mục “Chuỗi chuyển hướng”: mỗi bước ghi mã trạng thái và địa chỉ đích.
Điểm F có nghĩa là website bị hack không?
Không. Điểm chỉ phản ánh các header bảo mật được khuyến nghị; thiếu chúng làm trang dễ bị một số kiểu tấn công hơn, không có nghĩa là đã có lỗ hổng.
Có kiểm tra được trang cần đăng nhập không?
Không. Công cụ không gửi cookie hay mật khẩu, nên thấy đúng như một khách lần đầu vào trang.
Công cụ có hỗ trợ cổng khác 80 / 443 không?
Không. Để tránh bị lợi dụng dò quét, chỉ chấp nhận http (80) và https (443) tới IP công khai.
Vì sao trình duyệt của tôi thấy khác?
Trình duyệt có thể dùng bản đệm, gửi cookie, hoặc được phục vụ bản khác theo vị trí. Công cụ gửi từ máy chủ của Công Cụ Nhanh, không cookie, với User-Agent CongCuNhanh-HeaderCheck/1.0.
Có xem được nội dung HTML không?
Không. Công cụ chỉ đọc phần header để nhanh và an toàn; nội dung trang không được tải.
Đánh giá và bình luận
Đang tải…