Kiểm tra HTTP header

Xem máy chủ gửi gì trước khi gửi trang

Mỗi lần trình duyệt yêu cầu một trang, máy chủ trả lời bằng một loạt HTTP header trước khi gửi nội dung. Header cho trình duyệt biết loại nội dung, được cache trang bao lâu, đặt cookie nào, chuyển hướng đến đâu và tuân theo quy tắc bảo mật nào. Khách truy cập bình thường không thấy chúng, nhưng chúng cực kỳ quan trọng với hiệu năng, SEO và bảo mật.

Công cụ gửi một yêu cầu GET chuẩn đến URL bạn nhập và liệt kê mọi response header nhận được. Đây là cách nhanh để kiểm tra máy chủ, CDN hay plugin của bạn thực sự gửi gì, mà không cần mở công cụ dành cho nhà phát triển của trình duyệt.

Những header nên biết gồm Content-Type, Cache-Control, Location (cho chuyển hướng), Set-Cookie, Server, X-Robots-Tag, và các header bảo mật như Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options và Referrer-Policy.

Cách dùng công cụ kiểm tra HTTP header

1. Nhập URL đầy đủ, kể cả https://.
2. Gửi yêu cầu kiểm tra.
3. Đọc các header trả về.
4. So sánh với những gì bạn mong đợi từ cấu hình máy chủ hoặc CDN.

Ví dụ

Một website dùng Cloudflare

Đầu vào: https://example.com

Kết quả:

HTTP/2 200
content-type: text/html
server: cloudflare
cf-cache-status: HIT
alt-svc: h3=":443"; ma=86400

Phản hồi thật, đã rút gọn. cf-cache-status: HIT nghĩa là trang được lấy từ cache của Cloudflare, còn alt-svc thông báo hỗ trợ HTTP/3.

Ứng dụng phổ biến

• Kiểm tra header cache được thiết lập đúng để tối ưu hiệu năng.
• Xác nhận các header bảo mật như HSTS và CSP đã có.
• Tìm header X-Robots-Tag: noindex đang khiến một trang không xuất hiện trên kết quả tìm kiếm.
• Xem phần mềm máy chủ hoặc CDN nào (ví dụ Cloudflare hay LiteSpeed) đang phục vụ website.
• Gỡ lỗi CORS, cookie hoặc content type trong API.

Mẹo và lưu ý

• Header X-Robots-Tag có thể chặn lập chỉ mục y như thẻ meta robots. Nếu trang không được index, hãy kiểm tra ở đây.
• Cache-Control: no-store trên file tĩnh như ảnh và CSS khiến lượt truy cập lặp lại chậm hơn cần thiết.
• Header có thể khác nhau giữa http:// và https://, giữa www và tên miền gốc. Hãy kiểm tra đúng phiên bản khách truy cập dùng.
• Để theo dõi chuỗi chuyển hướng, dùng công cụ kiểm tra chuyển hướng URL. Để kiểm tra giao thức, thử công cụ kiểm tra HTTP/2.

Trường hợp đặc biệt và giới hạn

• Khi URL chuyển hướng, chỉ phản hồi cuối cùng được hiển thị. Dùng công cụ kiểm tra chuyển hướng để xem từng bước.
• Một số website gửi header khác nhau cho từng khách, ví dụ theo quốc gia hoặc thiết bị, nên trình duyệt của bạn có thể thấy giá trị khác.
• Website có lớp chống bot có thể trả về 403 hoặc trang thử thách cho công cụ của chúng tôi dù vẫn mở được trên trình duyệt của bạn.
• Tên header không phân biệt hoa thường. HTTP/2 gửi chúng dạng chữ thường, nên thấy content-type thay vì Content-Type là bình thường.

Câu hỏi thường gặp

HTTP header là gì?

Đó là các dòng khóa-giá trị đi kèm mọi yêu cầu và phản hồi HTTP, mô tả nội dung và cách xử lý nó.

Website của tôi nên có những header bảo mật nào?

Mức cơ bản tốt là Strict-Transport-Security, X-Content-Type-Options: nosniff, một Referrer-Policy và Content-Security-Policy phù hợp với website. Chống nhúng khung (X-Frame-Options hoặc CSP frame-ancestors) cũng phổ biến.

Header có ảnh hưởng đến SEO không?

Có. Mã trạng thái, chuyển hướng, header Link canonical và X-Robots-Tag đều ảnh hưởng đến cách công cụ tìm kiếm thu thập và lập chỉ mục trang.

Vì sao trình duyệt của tôi thấy header khác?

Trình duyệt gửi request header và cookie riêng, và có thể đi qua cache khác. Kết quả cũng có thể khác theo vị trí khi có CDN.

Công cụ liên quan

• Kiểm tra chuyển hướng URL: Kiểm tra chuyển hướng 301 và 302 của một URL. Kiểm tra tối đa 10 lần chuyển hướng.
• Kiểm tra HTTP/2: Kiểm tra website có đang dùng giao thức HTTP/2 mới hay không.
• Kiểm tra SSL: Xem mọi thông tin có thể về một chứng chỉ SSL.
• Kiểm tra thẻ meta: Lấy và kiểm tra thẻ meta của bất kỳ website nào.
• Phân tích user agent: Phân tích thông tin từ chuỗi user agent.