HTTP Header 분석기

사용 방법

1. 원시 HTTP 헤더를 텍스트 영역에 붙여넣습니다. 첫 줄은 상태 줄 또는 메서드 줄이 될 수 있습니다.
2. 분석을 클릭하세요. 도구가 요청 / 응답을 자동 감지하고 카테고리별로 그룹화합니다.
3. 분류별, 원본, JSON 탭을 전환하며 보기를 바꿉니다.
4. 보안 헤더 카드의 인라인 힌트를 확인하세요 — 잘못된 구성은 경고, 강화 권장은 참고로 표시됩니다.
5. JSON 복사로 분석 결과를 내보내 후속 자동화에 활용합니다.

예시: 보안 헤더가 포함된 응답

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Cache-Control: no-store
Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Strict; Path=/

분석기는 Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy를 보안으로 분류합니다. Cache-Control은 캐싱, Content-Type은 콘텐츠, Set-Cookie는 쿠키로 분류됩니다. 각 카드에는 한 줄 설명과 힌트(예: HttpOnly 없는 Set-Cookie는 경고)가 포함됩니다.

예시: CORS 프리플라이트

OPTIONS /api/v1/orders HTTP/1.1
Host: api.example.com
Origin: https://app.example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type

요청으로 인식됩니다. Access-Control-Request-* 쌍은 프리플라이트 표식입니다. 분석기는 Origin을 강조하고 요청된 메서드와 헤더를 나열합니다. 응답 측과 함께 사용하면 CORS 핸드셰이크를 끝에서 끝까지 추적할 수 있습니다.

카테고리 한눈에 보기

• 상태 — 첫 줄(상태 줄 또는 메서드 줄).
• 보안 — HSTS, CSP, X-Frame-Options, COOP/COEP/CORP, Permissions-Policy, Fetch metadata.
• 캐싱 — Cache-Control, ETag, Vary, Expires, Last-Modified, 조건부 요청 헤더.
• 콘텐츠 — Content-Type, Content-Encoding, Accept-*, Content-Disposition.
• CORS — Access-Control-*와 Origin.
• 인증 — Authorization, WWW-Authenticate, Proxy-Authenticate.
• 쿠키 — Cookie와 Set-Cookie.
• 전송 / 범위 / 프록시 / 일반 / 사용자 정의 — 나머지 카테고리. X-* 미지 헤더는 사용자 정의로 분류됩니다.

컴플라이언스 힌트 기준

힌트는 보수적으로, 명백한 설정 오류만 표시하며 주관적 스타일 평가는 하지 않습니다. 예:

• HSTS max-age가 1년 미만이거나 includeSubDomains / preload 누락.
• CSP에 ‘unsafe-inline’ 또는 ‘unsafe-eval’ 포함.
• Set-Cookie에 HttpOnly 또는 Secure 누락.
• Access-Control-Allow-Credentials: true와 와일드카드 Origin 조합(스펙 위반).
• Cache-Control에 no-store와 max-age 공존(max-age 사실상 무효).

관련 도구

• Cookie 문자열 파서 — Cookie / Set-Cookie 문자열을 이름/값/플래그 표로 분해.
• CSP 헤더 생성기 — 엄격한 Content-Security-Policy를 처음부터 구성.
• HAR 파일 분석기 — DevTools 요청 워터폴을 시각화.
• HTTP 상태 코드 — 1xx~5xx 검색 가능한 참조.