HTTP 응답 헤더 확인

이 도구가 보내는 요청

공개 HTTP 80 또는 HTTPS 443에 HEAD 요청을 사용하고, 서버가 HEAD를 지원하지 않는 경우 GET으로 다시 시도합니다. 본문을 내려받거나 브라우저처럼 JavaScript를 실행하지 않습니다.

조회 대상에 사용자 브라우저의 로그인 쿠키를 전달하지 않습니다. HTTP 리다이렉트는 최대 3회 따라가며 결과는 최대 1분 캐시합니다.

자주 확인하는 헤더

헤더 유무만으로 보안을 판정하지 않습니다

CSP가 있어도 허용 출처가 지나치게 넓으면 보호 효과가 제한됩니다. HSTS의 includeSubDomains는 하위 도메인 전체에 영향을 주므로 실제 HTTPS 운영 범위를 확인한 뒤 적용해야 합니다.

Server 헤더는 생략하거나 임의 값을 넣을 수 있습니다. 표시된 이름만으로 실제 서버 제품·버전·취약 여부를 확정하지 마세요.

브라우저 결과와 다를 때

브라우저는 쿠키·로그인 상태·확장 기능·캐시를 사용하고 여러 추가 요청을 보냅니다. 이 도구의 서버 위치나 요청 방식에 따라 WAF가 다른 응답을 보낼 수도 있습니다. 같은 URL과 최종 경로를 먼저 비교하세요.

curl로 응답 헤더 직접 보기

이 도구와 같은 HEAD 요청은 curl -I로 보낼 수 있습니다. 아래는 PPORT 메인 페이지의 보안 관련 헤더만 골라 본 결과입니다.

$ curl -sI https://pport.cloud/ko/ | grep -iE '^(HTTP|strict-transport|x-content-type|x-frame|referrer-policy|permissions-policy)'
HTTP/1.1 200 OK
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: same-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()
Strict-Transport-Security: max-age=31536000

Content-Security-Policy는 요청마다 바뀌는 nonce 값이 들어 있어 목록에서 뺐습니다. 같은 명령에 -L을 붙이면 리다이렉트 단계마다의 헤더가 차례로 출력됩니다.

nginx에서 보안 헤더를 추가할 때 자주 하는 실수

server {
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;

    location /static/ {
        add_header Cache-Control "public, max-age=604800";
    }
}

add_header는 현재 블록에 add_header가 하나도 없을 때만 바깥 블록의 값을 물려받습니다. 위 예에서 /static/ 블록은 Cache-Control만 보내고 HSTS와 nosniff는 빠집니다. 하위 블록에 add_header를 쓴다면 필요한 보안 헤더도 그 블록에 다시 적으세요.

끝의 always를 빼면 nginx는 200, 201, 204, 206, 301, 302, 303, 304, 307, 308 응답에만 헤더를 붙입니다. 404나 500 같은 오류 응답에도 같은 정책을 적용하려면 always를 붙입니다.

관련 도구

함께 읽어보기

• SSL 인증서 이해하기
• HTTP 상태코드 정리