Verificador de Cabeçalhos HTTP

Execute o Verificador de cabeçalhos HTTP após novo origin, mudança orange-cloud CDN ou ativação HSTS. Cache-Control e cabeçalhos CDN explicam HTML obsoleto apesar de deploy recente — compare ETag e max-age antes de purgar às cegas. Se Server difere do esperado, confirme A/AAAA com Verificador DNS — pode estar a atingir IP antiga do load balancer.

Revisões de segurança usam HSTS, CSP, X-Frame-Options, Referrer-Policy e Permissions-Policy para baseline. Sem HSTS em sites só HTTPS ficam janelas de downgrade na primeira visita. CSP mal configurada quebra scripts em produção — o verificador captura política ao vivo para diff com staging. Verificador de certificado SSL valida certificado; cabeçalhos validam o que a app envia após TLS terminar.

Debug de redirects beneficia da cadeia completa: links curtos marketing, regras apex→www e upgrades http→https acrescentam saltos. Threads de suporte precisam do Location exacto do 301 — copie do verificador em vez de adivinhar pela barra do browser.

Equipas API e SPA inspecionam CORS (Access-Control-Allow-Origin) quando a consola mostra fetches bloqueados. Cabeçalhos provam o que o edge devolve a GET não autenticados — distinto do preflight POST a testar separadamente.

Conformidade e banners cookies catalogam Set-Cookie: Secure, HttpOnly, SameSite. O verificador documenta emissão no URL analisado — útil antes de auditorias privacy. DN01 não varre sites inteiros em cada path; comece pelo URL investigado.

Load balancers por vezes removem Server e acrescentam Via — documente ambos ao endurecer fingerprint. Pentesters usam variação de cabeçalhos para mapear CDN vs origin; ticket de hardening deve listar diferenças intencionais por hostname.

Apps móveis sem DevTools — cole URLs API falhadas no verificador para cabeçalhos 401/403 (WWW-Authenticate, Retry-After) sem reproduzir no dispositivo.

Equipas de plataforma comparam cabeçalhos antes/depois de activar Brotli no CDN — Content-Encoding e Vary devem alinhar com política cache do runbook de performance.

Em auditorias SOC2 ou ISO, exporte saída do Verificador de cabeçalhos HTTP com capturas Verificador DNS e Verificador de certificado SSL — controlos edge sem cobertura global falsa.

Em blue/green deploy compare cabeçalhos no pool antigo e novo antes de mudar tráfego — HSTS e cookies sessão devem manter-se coerentes para evitar loops login pós-cutover.

Cabeçalhos diferentes no mesmo URL via VPN escritório vs rede móvel indicam CDN geo-roteado ou registos A partilhados — compare Verificador DNS e refetch. Mostramos um instantâneo, não cinquenta edge nodes globais.

301 vs 302 vs 307 importam para SEO e preservação de método. O verificador expõe códigos por salto — nem todos os redirects são equivalentes. Meta refresh em HTML fica fora do scope HTTP; veja fonte se Location falta mas browser move.

Cache-Control obsoleto com max-age longo no CDN enquanto origin envia no-cache significa override edge — corrija regra CDN, purgue, reconfirme. Cache-Control vazio em estáticos pode causar revalidação excessiva — intencional em HTML, dispendioso em assets imutáveis.

Cabeçalhos segurança em www mas ausentes em apex (ou vice-versa) indicam vhost incompleto. Teste ambos hostnames. HSTS numa etiqueta só deixa irmãs vulneráveis — alinhe vhosts TLS e repita Verificador de certificado SSL para cobertura SAN.

Content-Encoding brotli ou gzip afecta corpo, não semântica de cabeçalhos — não confunda falta de Content-Length em chunked com erros; foque cache e segurança em auditorias de política.

Cabeçalhos HTTP existem sobre TCP/TLS. Certificado válido do Verificador de certificado SSL não implica cache ou CSP correctos. Inversamente, cabeçalhos perfeitos em IP errada significam DNS ainda aponta elsewhere para alguns resolvers — triangule Verificador DNS e DIG em A/AAAA.

Proxies CDN terminam TLS e podem remover ou injectar cabeçalhos. Server e Via revelam quantos proxies participaram. Diagnóstico só-origin requer grey-cloud ou fetch directo — DN01 obtém URL pública introduzida, tipicamente pela rota DNS de hoje.

Listas preload HSTS e certificate transparency fora de scope. Verificador mostra Strict-Transport-Security ao vivo — suficiente para muitas auditorias, não substituto de registo preload nem monitor CT.

Automatize regressões de cabeçalhos via API documentada após token. UI browser ideal para investigações ad hoc com cópia — não vendemos SIEM nem dashboard WAF.

HTTP/3 e QUIC mudam estabelecimento mas muitos cabeçalhos segurança permanecem camada semântica HTTP — documentamos na rota negociada hoje.

304 Not Modified depende de If-None-Match do cliente — verificador em URL nua pode mostrar 200 enquanto browsers com ETag em cache veem 304; documente condições.

DN01 não executa JavaScript — SPAs que definem cabeçalhos segurança só após render cliente podem enganar se só URLs de hosting estático forem inspeccionadas.

X-Content-Type-Options: nosniff e Cross-Origin-Opener-Policy complementam CSP — o verificador lista declarações servidor num GET reprodutível em tickets.

Quando WAF devolve páginas de desafio bot, cabeçalhos podem mostrar Set-Cookie de mitigação distintos da app — documente hostname exacto sob ataque antes de comparar staging.

curl -I é padrão do operador mas bloqueado em muitos portáteis corporativos e intimidante para não-CLI. DN01 formata para cópia com cadeias redirect visíveis — mesma classe de info, UX mais amável, oito idiomas.

DevTools Network brilha em debug interactivo POST e WebSockets. Verificador mira snapshots GET/HEAD de metadados resposta para tickets — não export HAR completo.

Scanners segurança dedicados rastreiam sites, pontuam cabeçalhos e seguem CVE. DN01 oferece fetch honesto URL única sem badge pago — combine com scanner, DN01 para «o que devolve este URL agora?»

Não seguimos redirects JavaScript arbitrários, autenticamos apps nem armazenamos bases históricas por cliente. Rate limits protegem serviço. Mapas propagação globais fora de scope — Verificador DNS e DIG para endereçamento; nós metadados HTTP.

Equipas WAF enterprise mantêm allowlists — coordene antes de automatizar alto volume em produção.

Tag managers injectam scripts — verificador documenta declarações servidor; Lighthouse e RUM medem experiência cliente.

Gateways proxy auth devolvem 302 login com Set-Cookie — capture ao depurar SSO; DN01 documenta redirects pre-auth que confundem clientes API JSON.

APM correlaciona latência com tamanho resposta — verificador não mede TTFB nem waterfall mas prova política cache declarada ausente em alertas utilizador.

Extensões browser que alteram cabeçalhos localmente não reflectem clientes externos — fetch DN01 de infra neutra evita falsos positivos no laptop do developer.

Runbooks disaster recovery devem reexecutar Verificador de cabeçalhos HTTP após fail-over DNS — confirme HSTS e redirects antes de declarar serviço restaurado.

Equipas SRE arquivam capturas Verificador de cabeçalhos HTTP em postmortems — prova reprodutível sem shell em portáteis bloqueados.

Operadores em Lisboa e São Paulo validam cabeçalhos em hostnames .pt e .com.br antes de campanhas — o Verificador de cabeçalhos HTTP confirma redirects e HSTS em cada TLD público sem assumir paridade com staging .dev.