Перегляд HTTP-заголовків

Для чого ця перевірка

HTTP-заголовки супроводжують запити та можуть описувати браузер, переваги й контекст з’єднання. Інструмент показує те, що наш сервер фактично отримує для навігації та додаткового запиту. Це не завжди початкові дані браузера: проксі чи інші посередники можуть змінити поля. Інформація JavaScript є окремою точкою спостереження, тому її не слід непомітно змішувати з серверними заголовками.

Як почати

1. Відкрийте сторінку в потрібному профілі браузера. Запишіть доречні розширення та параметри з’єднання.
2. Запустіть додатковий fetch-запит і дочекайтеся отриманих заголовків та доступних Client Hints.
3. Порівняйте навігацію й fetch окремо. Замасковане чутливе значення не вважайте порожнім чи відсутнім.

Як відбувається вимірювання

Наш сервер показує заголовки навігації та fetch, які він отримав. JavaScript Client Hints описують дані, доступні скрипту, з іншого джерела спостереження.

Authorization, Cookie й поля, розпізнані за назвами як секрети, маскуються. Правила не знаходять кожного можливого секрету. Інструмент не веде прикладного журналу; інфраструктура може мати власні журнали.

Як зрозуміти результат

Заголовок отримано нашим сервером

Поле дійшло до цієї точки. Його могли додати або змінити по дорозі; наявність не підтверджує характеру посередника.

Доступні лише браузерні дані

Скрипт прочитав інформацію, яка не була отримана як той самий заголовок. Це інший спосіб отримання даних.

Поле відсутнє чи замасковане

Відсутність і приховане значення є різними станами. Відсутній заголовок не доводить, що подібна інформація недоступна в інший спосіб.

Порівняння до та після

1. Збережіть отримані поля з тим самим профілем, сторінкою та видом запиту.
2. Змініть один доречний мовний або браузерний параметр і повторіть додатковий запит.
3. Порівнюйте однакові типи запитів, а масковані поля читайте окремо. Нове поле може з’явитися через запитані Client Hints.

Обмеження перевірки

• Спостереження стосується отримання цим сервером, а не кожного сайту чи всіх проміжних систем.
• User-Agent і назва браузера не посвідчують особи. Маскування не оцінює повної конфіденційності всього запиту.

Що можна змінити

Показано неочікувану перевагу.

Перевірте відповідний мовний або браузерний параметр і повторіть той самий запит. Спочатку врахуйте можливість зміни посередником.

Очікуваного заголовка немає.

Перевірте тип запиту та умови функції браузера. Не порівнюйте поле навігації з даними, доступними лише JavaScript.

Поширені запитання

Джерела

• MDN · HTTP headers
• MDN · Client hints