HTTP 狀態碼檢查工具

檢查公開 URL 的狀態碼、重新導向鏈與重要回應標頭，用於部署與 SEO 驗證。

由伺服器代為查詢您輸入的網址由本站伺服器代為查詢。

請求設定

Crawler 預設只會改變此伺服器端檢查的安全請求標頭；真實抓取與索引證據請以 Search Console 或伺服器日誌為準。

HTTP 標頭解析器

貼上回應標頭，檢查快取、安全、Cookie 與 CORS 訊號，再寫入除錯紀錄。

原始 HTTP 標頭

標頭數

重複名稱

安全標頭

Cookie 標頭

安全標頭準備度

在發布或除錯公開頁面前，快速掃描開發者常檢查的安全回應標頭。

安全標頭分數

3/6

缺少必要項

Strict-Transport-Security

必要

首次造訪後保護 HTTPS 使用者免受協定降級影響。

存在

Content-Security-Policy

必要

限制 script、style、image、connection 與 frame source。

存在

X-Content-Type-Options

必要

nosniff 可協助瀏覽器避免 MIME type 混淆。

缺少

X-Frame-Options / frame-ancestors

建議

控制其他網站是否能在 frame 中嵌入頁面。

存在

Referrer-Policy

建議

限制傳送到其他 origin 的 URL 資訊量。

缺少

Permissions-Policy

建議

限制 camera、geolocation、fullscreen 等瀏覽器能力存取。

缺少

CORS preflight 就緒度

先檢查 Access-Control 回應標頭，再把瀏覽器 preflight 錯誤視為應用 bug。

Origin 政策

缺少

—

Credential 政策

不允許 credential

允許 method

—

允許 header

—

Vary Origin

否

—

Preflight status

200

OPTIONS signal

—

CORS preflight 備註

未發現 CORS 回應標頭。一般頁面可接受，但跨 origin 瀏覽器 API 呼叫仍會失敗。

已解析標頭

標頭名稱會正規化，方便掃描重複項與檢查分類。

content-type內容: text/html; charset=utf-8
cache-control快取: public, max-age=3600
strict-transport-security安全: max-age=31536000; includeSubDomains
content-security-policy安全: default-src 'self'; img-src 'self' https:
x-frame-options安全: DENY

標頭檢查備註

這些標頭看起來可用於除錯紀錄。仍需依目標應用政策確認。

安全標頭報告

複製包含安全分數、必要項缺少、cookie/CORS 備註與部署檢查的安全報告。

標頭數

安全標頭分數

3/6

缺少必要項

Cookie 標頭

CORS

Origin 政策

缺少

—

OPTIONS signal

—

包含原始標頭

否

不包含，僅包含指標、準備度檢查與備註。

檢查備註

未發現明顯安全標頭警告。發布前仍需確認目標應用政策。

部署檢查清單

確認 HTTPS 頁面在首個 production 回應後送出 Strict-Transport-Security。
將 report-only 政策改為 enforcement 前檢查 Content-Security-Policy source。
檢查 Set-Cookie 的 Secure、HttpOnly、SameSite 與快取互動。
核對 CORS origin 與 credentials 是否符合目標公開 API client。
CDN、proxy 或部署變更後重新執行 public URL check。

# 安全標頭報告

- 檢查時間: 瀏覽器複製時間
- 標頭數: 5
- 重複名稱: 0
- 安全標頭分數: 3/6
- 缺少必要項: 1
- Cookie 標頭: 0
- CORS: 0
- Origin 政策: 缺少 (—)
- Credential 政策: 不允許 credential
- 允許 method: —
- 允許 header: —
- Vary Origin: 否
- OPTIONS signal: —
- Preflight status: 200
- 包含原始標頭: 不包含，僅包含指標、準備度檢查與備註。

## 檢查備註
- 未發現明顯安全標頭警告。發布前仍需確認目標應用政策。

## CORS preflight 備註
- 未發現 CORS 回應標頭。一般頁面可接受，但跨 origin 瀏覽器 API 呼叫仍會失敗。

## 安全標頭檢查
- Strict-Transport-Security: 存在 (必要)
- Content-Security-Policy: 存在 (必要)
- X-Content-Type-Options: 缺少 (必要)
- X-Frame-Options / frame-ancestors: 存在 (建議)
- Referrer-Policy: 缺少 (建議)
- Permissions-Policy: 缺少 (建議)

## 部署檢查清單
- 確認 HTTPS 頁面在首個 production 回應後送出 Strict-Transport-Security。
- 將 report-only 政策改為 enforcement 前檢查 Content-Security-Policy source。
- 檢查 Set-Cookie 的 Secure、HttpOnly、SameSite 與快取互動。
- 核對 CORS origin 與 credentials 是否符合目標公開 API client。
- CDN、proxy 或部署變更後重新執行 public URL check。

已解析標頭 JSON

{
  "entries": [
    {
      "name": "content-type",
      "value": "text/html; charset=utf-8",
      "categoryKey": "contentHeaderCategory",
      "categoryFallback": "Content"
    },
    {
      "name": "cache-control",
      "value": "public, max-age=3600",
      "categoryKey": "cacheHeaderCategory",
      "categoryFallback": "Cache"
    },
    {
      "name": "strict-transport-security",
      "value": "max-age=31536000; includeSubDomains",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    },
    {
      "name": "content-security-policy",
      "value": "default-src 'self'; img-src 'self' https:",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    },
    {
      "name": "x-frame-options",
      "value": "DENY",
      "categoryKey": "securityHeaderCategory",
      "categoryFallback": "Security"
    }
  ],
  "malformedLines": 0,
  "metrics": {
    "headerCount": 5,
    "duplicateHeaderNames": 0,
    "securityHeaders": 3,
    "corsHeaders": 0,
    "cookieHeaders": 0,
    "presentSecurityHeaders": 3,
    "securityCheckCount": 6,
    "missingRequiredSecurityHeaders": 1
  },
  "securityChecks": [
    {
      "key": "hsts",
      "label": "Strict-Transport-Security",
      "present": true,
      "required": true,
      "detail": "首次造訪後保護 HTTPS 使用者免受協定降級影響。"
    },
    {
      "key": "csp",
      "label": "Content-Security-Policy",
      "present": true,
      "required": true,
      "detail": "限制 script、style、image、connection 與 frame source。"
    },
    {
      "key": "x-content-type-options",
      "label": "X-Content-Type-Options",
      "present": false,
      "required": true,
      "detail": "nosniff 可協助瀏覽器避免 MIME type 混淆。"
    },
    {
      "key": "frame-protection",
      "label": "X-Frame-Options / frame-ancestors",
      "present": true,
      "required": false,
      "detail": "控制其他網站是否能在 frame 中嵌入頁面。"
    },
    {
      "key": "referrer-policy",
      "label": "Referrer-Policy",
      "present": false,
      "required": false,
      "detail": "限制傳送到其他 origin 的 URL 資訊量。"
    },
    {
      "key": "permissions-policy",
      "label": "Permissions-Policy",
      "present": false,
      "required": false,
      "detail": "限制 camera、geolocation、fullscreen 等瀏覽器能力存取。"
    }
  ],
  "corsPreflight": {
    "hasCorsHeaders": false,
    "warnings": [
      "未發現 CORS 回應標頭。一般頁面可接受，但跨 origin 瀏覽器 API 呼叫仍會失敗。"
    ],
    "reviewWarnings": [],
    "originPolicy": "缺少",
    "originValue": "—",
    "credentialsPolicy": "不允許 credential",
    "methodsDisplay": "—",
    "headersDisplay": "—",
    "optionsPolicy": "—",
    "varyOriginLabel": "否",
    "statusDisplay": "200",
    "metrics": [
      {
        "label": "Origin 政策",
        "value": "缺少",
        "description": "—"
      },
      {
        "label": "Credential 政策",
        "value": "不允許 credential"
      },
      {
        "label": "允許 method",
        "value": "—"
      },
      {
        "label": "允許 header",
        "value": "—"
      },
      {
        "label": "Vary Origin",
        "value": "否",
        "description": "—"
      },
      {
        "label": "Preflight status",
        "value": "200"
      },
      {
        "label": "OPTIONS signal",
        "value": "—"
      }
    ]
  },
  "warnings": []
}

CSP 產生器

產生 Content-Security-Policy 標頭，檢查高風險 source，再送入標頭解析器。

default-srcscript-srcstyle-srcimg-srcconnect-srcfont-srcframe-ancestors

指令

標頭模式

Enforce

已產生 CSP 標頭

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; connect-src 'self'; font-src 'self'; frame-ancestors 'none'

CSP 檢查備註

source 已較嚴格，可進入首次啟用檢查。

原始回應

輸出會顯示在這裡。

輸入的內容只存在這個瀏覽器。重新開啟可以還原上次的操作。

使用情境

檢查公開 URL 的狀態碼、重新導向鏈與重要回應標頭，用於部署與 SEO 驗證。
以伺服器檢查方式處理輸入，並在複製前檢查結果。
搭配 HTTP 狀態碼檢查工具與相關工具縮短工作流程。

範例

常見輸入: https://www.google.com; 檢查公開 URL 狀態、重新導向診斷、最終回應標頭、貼上的標頭區塊、CSP 草稿與可複製 URL 報告。
典型輸出: 200 OK / 最終 URL / 重新導向診斷 / 公開 URL 報告 / 已解析標頭 / CSP 標頭; 複製前用來確認結果格式與後續檢查點。
附加範例: https://bobob.app; 複製前用來確認結果格式與後續檢查點。
附加範例: https://www.bobob.app/sitemap.xml; 複製前用來確認結果格式與後續檢查點。
附加範例: https://www.bobob.app/tools/http-status-checker; 複製前用來確認結果格式與後續檢查點。
附加範例: https://www.bobob.app/; 複製前用來確認結果格式與後續檢查點。

常見錯誤

檢查公開 URL 的狀態碼、重新導向鏈與重要回應標頭，用於部署與 SEO 驗證。
如果伺服器檢查處理方式和真實輸入結構不一致, 輸出不能直接信任。
複製的值中如果混入正式密鑰、客戶資料或內部 URL, 分享前必須移除。

複製前確認

1再次比較原始輸入與輸出形態。
2確認目標執行環境、編碼、時區與安全政策差異。
3繼續用相關工具檢查 HTTP 狀態碼檢查工具的結果是否適合下一步。

參考資料

301 and 308 differ in how the method is replayed
For historical reasons a 301 allows the client to replay a POST as a GET. A 308 requires the method and body to be preserved (RFC 9110). The difference shows up the moment a form submission hits a redirect.
依據：RFC 9110
404 and 410 read differently to a crawler
410 (Gone) is for when the server knows the resource is permanently gone and no forwarding address is known (RFC 9110). 404 only says “not here right now”, so a crawler keeps coming back for a while.
依據：RFC 9110
Serving 200 with an error page is the worst case
2xx means the request was received, understood and accepted (RFC 9110). Answer 200 for a page that does not exist and both browsers and search crawlers take it as success, so the dead URL stays in the index.
依據：RFC 9110

常見問題