Bezplatný diagnostický nástroj
HTTP Header Checker — kontrola HTTP hlaviček
Zkontrolujte HTTP hlavičky pro libovolnou URL: bezpečnostní hlavičky (HSTS, CSP, X-Frame), Cache-Control, Content-Type, Server, status kód. Ideální pro bezpečnostní a výkonnostní audity.
Jak zkontrolovat HTTP hlavičky webu?
HTTP Header Checker kontroluje hlavičky ve 3 krocích: 1) Zadejte URL (s https:// nebo bez něj). 2) Po kliknutí na Zkontrolovat nástroj odešle požadavek HEAD a analyzuje hlavičky odpovědi. 3) Výsledky se klasifikují: Dobré (bezpečnostní hlavičky přítomny), Varování (Server prozrazuje verzi, Cache no-cache), Špatné (chybí kritické hlavičky), Info (ostatní). Ideální pro: bezpečnostní audit (CSP, HSTS, X-Frame), kontrolu strategie cache, ladění potíží s CORS, konkurenční analýzu.
- Klasifikace hlaviček — Dobré / Varování / Špatné / Info
- Detekce chybějících bezpečnostních hlaviček (HSTS, CSP, X-Frame)
- Status kód + typ serveru (Apache/nginx/LiteSpeed)
- Ideální pro bezpečnostní a výkonnostní audity webu
HTTP Header Checker
Zadejte URL a zkontrolujte HTTP hlavičky, bezpečnostní hlavičky a status kód.
6 nejdůležitějších HTTP hlaviček
Cache-Control
VýkonDefinuje, jak prohlížeč cachuje zdroje. public, max-age=31536000 znamená cachování na 1 rok u statických souborů (obrázky, CSS, JS s hashem v názvu).
Cache-Control: public, max-age=31536000Content-Type
ZákladníDefinuje typ obsahu a charset. text/html; charset=utf-8 pro HTML, application/json pro API odpovědi. Bez správného Content-Type může prohlížeč obsah špatně interpretovat.
Content-Type: text/html; charset=utf-8X-Frame-Options
ZabezpečeníBrání útokům clickjacking. SAMEORIGIN povoluje vkládání jen ze stejné domény, DENY zcela blokuje vložení <iframe>. Povinné pro všechny admin/login stránky.
X-Frame-Options: SAMEORIGINStrict-Transport-Security (HSTS)
ZabezpečeníVynucuje spojení HTTPS. max-age=31536000; includeSubDomains vyžaduje HTTPS na jeden rok. Bez HSTS se prohlížeč může při první návštěvě vrátit k HTTP.
Strict-Transport-Security: max-age=31536000; includeSubDomainsContent-Security-Policy (CSP)
ZabezpečeníNejsilnější ochrana proti XSS. default-src 'self' povoluje skripty/styly/obrázky jen ze stejné domény. Brání injection útokům a neoprávněnému načítání zdrojů.
Content-Security-Policy: default-src 'self'Server
InfoProzrazuje verzi webového serveru. „LiteSpeed“ je v pořádku, ale „Apache/2.4.41 (Ubuntu)“ prozrazuje útočníkovi konkrétní exploity. Nakonfigurujte ServerSignature Off.
Server: LiteSpeedHTTP hlavičky — bezpečnost a výkon
HTTP hlavičky jsou metadata, která server posílá prohlížeči v každé HTTP odpovědi. Definují vše od strategie cache po bezpečnostní zásady. Správně nakonfigurované hlavičky chrání před útoky XSS, clickjackingem, záměnou MIME a zrychlují web o 50–80 % díky cache prohlížeče.
Hlavičky se konfigurují na úrovni webového serveru (Apache .htaccess, konfigurace nginx, LiteSpeed) nebo v aplikaci (funkce PHP header(), Express middleware, konfigurace hlaviček Next.js). Nejdůležitější bezpečnostní hlavičky: HSTS (vynucuje HTTPS), CSP (brání XSS), X-Frame-Options (proti clickjackingu), X-Content-Type-Options (nosniff).
Hostingové tarify BeoHosting mají Apache + LiteSpeed s optimálně nakonfigurovanými výchozími hlavičkami (HSTS, HTTP/2, GZIP/Brotli). Pokud používáte proxy Cloudflare před hostingem BeoHosting, objeví se další hlavičky (CF-Ray, CF-Cache-Status).
Připraveni spustit svůj web?
Připojte se k více než 4 000 spokojeným zákazníkům. Bezplatná migrace a 30denní záruka vrácení peněz.
Často kladené dotazy – HTTP Header Checker
Odpovědi na nejčastější dotazy o našich službách.
Zavolejte nám: podpora funguje 24/7, telefonicky i přes tikety.
(+381) 60 3535 720Co jsou bezpečnostní hlavičky a proč jsou důležité?
Bezpečnostní hlavičky jsou HTTP hlavičky, které chrání web před běžnými webovými útoky: HSTS (vynucuje HTTPS, brání SSL strippingu), CSP (brání XSS), X-Frame-Options (proti clickjackingu), X-Content-Type-Options (záměna MIME nosniff), Referrer-Policy (kontrola hlavičky Referer), Permissions-Policy (oprávnění kamera/mikrofon/geo). Bez nich je web zranitelný vůči oblíbeným útokům.
Jak přidám bezpečnostní hlavičky na hostingu BeoHosting?
Nejsnáz přes soubor .htaccess. Přidejte do public_html/.htaccess: Header set X-Frame-Options „SAMEORIGIN“, Header set X-Content-Type-Options „nosniff“, Header set Strict-Transport-Security „max-age=31536000; includeSubDomains“. Pro CSP použijte náš nástroj Generátor .htaccess. Hlavičky se uplatní okamžitě — bez restartu.
Co znamená seznam HSTS preload?
HSTS Preload je seznam spravovaný Chromiem (Chrome), kam lze přidat striktně jen HTTPS weby (s HSTS dlouhým alespoň 1 rok + includeSubDomains + direktivou preload). Pokud je vaše doména na seznamu preload, Chrome a Firefox se nikdy nepokusí o HTTP spojení — okamžitě HTTPS. Přihlašovací formulář: hstspreload.org.
Jak odebrat hlavičku Server (skrýt verzi Apache)?
Na Apache v httpd.conf nebo .htaccess: ServerSignature Off + ServerTokens Prod. Na LiteSpeed (BeoHosting) — Server: LiteSpeed je standardně bez verze, je to bezpečné. Pro úplné skrytí: použijte mod_security nebo reverzní proxy (Cloudflare/nginx) před backendem BeoHosting, která hlavičku Server v odpovědi odstraní.
Ukládá nástroj mé URL?
Ne. URL, kterou kontrolujete, jde jen přes naše API na cílový server pro požadavek HEAD. URL neukládáme do databáze, nelogujeme IP adresy uživatelů ani nesledujeme aktivitu. Vše je 100% soukromé a funguje i s interními/staging URL, pokud jsou veřejně dostupné.
Naše záruky pro váš klid
Chráněni ze všech stran
30denní záruka
V prvních 30 dnech vracíme peníze bez otázek.
Bezplatná migrace
Váš web přemigrujeme bez výpadku — vy neuděláte nic.
Podpora 24/7
Naši odborníci jsou tu 24/7 prostřednictvím ticketů a live chatu.