HTTP 헤더 검사

HTTP 헤더 확인이란?

HTTP Headers 도구는 URL을 입력하면 그 주소에 GET 요청을 보내 서버가 돌려주는 응답 헤더 전체와 최종 상태 코드, 그리고 요청이 거친 리다이렉트 체인을 보여 줍니다. Content-Type, Cache-Control, Set-Cookie, Strict-Transport-Security, Content-Security-Policy 같은 헤더가 실제로 어떻게 내려오는지 브라우저 개발자 도구를 열지 않고 확인할 수 있습니다.

이 요청은 서버에서 대신 보냅니다. 브라우저에서 직접 다른 출처(cross-origin)로 요청하면 CORS 정책 때문에 응답 헤더 대부분을 읽을 수 없고, 애초에 리다이렉트 체인의 중간 홉을 브라우저 자바스크립트로는 관찰하기 어렵기 때문입니다. 서버가 redirect: manual 방식으로 최대 10홉까지 리다이렉트를 직접 따라가며 각 홉의 상태 코드와 Location을 기록해 반환합니다.

실무에서는 캐시 정책(Cache-Control·ETag)이 의도대로 걸렸는지, HSTS·CSP·X-Frame-Options 같은 보안 헤더가 제대로 설정됐는지, http→https나 www 리다이렉트가 301/302 중 무엇으로 몇 단계에 걸쳐 일어나는지, CDN이 어떤 헤더(예: cf-cache-status)를 붙이는지 점검할 때 유용합니다. 서버는 내부망 주소로의 요청을 차단(SSRF 방어)하며 리다이렉트 매 홉마다 이를 재검증합니다.

사용 방법

1. 확인할 URL을 입력합니다(예: https://example.com). 스킴을 생략하면 https로 간주해 요청합니다.
2. '헤더 확인' 버튼을 누르면 서버가 해당 URL로 GET 요청을 보내고, 리다이렉트가 있으면 끝까지 따라간 뒤 결과를 반환합니다.
3. 리다이렉트가 있었다면 상단에 각 홉의 상태 코드와 URL이 체인으로 표시되고, 아래에는 최종 응답의 상태 코드와 전체 헤더 목록이 나옵니다. 각 헤더 값은 복사 버튼으로 복사할 수 있습니다.

자주 묻는 질문

브라우저 개발자 도구의 Network 탭과 무엇이 다른가요?

개발자 도구는 브라우저가 실제로 렌더링하는 페이지의 요청을 보여 주지만, CORS 제약이나 리다이렉트 자동 추종 때문에 다른 출처의 원시 응답 헤더나 중간 리다이렉트 홉을 있는 그대로 보기 어렵습니다. 이 도구는 서버가 요청을 대신 보내 CORS 영향 없이 응답 헤더 전체와 각 리다이렉트 홉을 그대로 노출합니다.

리다이렉트가 너무 많다는 오류가 납니다.

서버는 최대 10홉까지만 리다이렉트를 따라갑니다. 그 이상 이어지면 리다이렉트 루프이거나 잘못 설정된 체인일 가능성이 높습니다. 표시된 홉 목록에서 같은 URL이 반복되거나 http↔https를 오가는 구간이 없는지 확인해 보세요.

localhost나 내부 IP를 조회할 수 없습니다.

SSRF(서버 측 요청 위조) 공격을 막기 위해 내부·사설 네트워크 주소로의 요청은 차단되며, 리다이렉트를 통한 우회도 매 홉마다 재검증해 막습니다. 공인 인터넷에서 접근 가능한 URL만 조회할 수 있습니다.

일부 헤더가 실제 브라우저 요청 때와 다르게 보입니다.

서버는 고정된 User-Agent(DevTools/1.0)로 요청하며 쿠키나 인증 정보를 보내지 않습니다. 따라서 User-Agent나 인증·세션에 따라 응답을 바꾸는 서버는 브라우저에서 직접 접속할 때와 다른 헤더를 내려줄 수 있습니다.