Elysia Tools
导航
Security
审计 HTTP 响应头的安全合规性——解析你粘贴的原始头（无网络），按 OWASP 安全头集做值级检查：HSTS max-age、CSP unsafe-inline/eval、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、COOP/COEP/CORP 等。输出字母评级（A+ 到 F）及逐项 Finding 与可复制的修复建议。
详情
本工具通过分析你粘贴的原始响应头来审计其安全合规性——绝不发起网络请求，因此适用于内网/需鉴权/CORS 受限站点、CI 产物或文档示例。
与 HTTP Headers Analyzer 的区别： 那个工具在线 fetch URL 且只检查头的存在性（布尔）。本工具做更全面的值级深度检查。
检查内容（12 个头，值级）：
输入格式： 原始 HTTP 响应头——每行一个 名称: 值，如 curl -I、浏览器 DevTools Network 标签或 HTTP 转储的输出。状态行（HTTP/1.1 200 OK）和空行会自动跳过。
评级（从 100 扣分）：每个 critical −20，每个 warning −8。字母评级 A+ 到 F。每项 Finding 展示当前值、问题所在及可复制的推荐头值。
本工具只检查安全头——不检查信息泄露头（Server/X-Powered-By）或 Cookie 属性。用于上线前加固站点的响应头。
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
等待运行
工具使用指南
安全响应头检查器是一款无需网络请求的 HTTP 安全头审计工具。只需粘贴原始 HTTP 响应头文本，它即可针对 OWASP 安全标准进行深度值级检查（如 HSTS 周期、CSP 策略安全性、跨源隔离等），并输出 A+ 到 F 的安全评级、具体缺陷分析及可直接复制的修复配置建议。
背景
公司内部的 HR 系统即将进行年度安全合规性审计，由于系统部署在内网，无法使用在线扫描工具进行检测。
问题
需要快速评估该系统的 HTTP 响应头是否满足基本的安全防护要求，并获取修复建议。
如何使用
使用 `curl -I` 获取内网系统的响应头，将其粘贴到工具的输入框中进行审计。
HTTP/1.1 200 OK
Server: nginx
type: text/html
Cache-Control: public结果
工具检测出缺失 HSTS、CSP 和 X-Content-Type-Options 等关键安全头，评级为 F，并给出了配置这些响应头的具体 Nginx 修复代码。
背景
为了防御 XSS 和点击劫持攻击，架构师在生产环境的 CDN 上配置了严格的 CSP、HSTS 和跨源隔离策略。
问题
需要验证配置的值是否完全符合安全规范，避免因拼写错误或参数不合规导致防御失效。
如何使用
从浏览器控制台复制最新的响应头，粘贴到工具中进行值级深度审计。
strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'; object-src 'none'
x-content-type-options: nosniff
x-frame-options: SAMEORIGIN
referrer-policy: strict-origin-when-cross-origin结果
不会。本工具完全在本地解析您粘贴的原始响应头文本，不发起任何网络连接，非常适合内网或鉴权环境。
普通工具通常只检查响应头是否存在，而本工具会深入检查具体的值（例如 HSTS 的 max-age 是否足够、CSP 是否包含 unsafe-inline 等）。
如果缺失了关键的安全响应头（如 HSTS、CSP 或 X-Content-Type-Options），每个缺失的 Critical 项会扣除 20 分，导致评级迅速降至 E 或 F。
不支持。本工具专注于 OWASP 推荐的 12 个核心安全响应头的值级审计，不检查 Cookie 属性（如 Secure/HttpOnly）或信息泄露头（如 Server/X-Powered-By）。
您可以使用 `curl -I https://example.com` 命令行获取，或者在浏览器的开发者工具（F12）的网络（Network）标签页中复制响应标头。
Text Processing
按约 15 条 markdownlint 规则加 2 条中文排版规则检查 Markdown，给出带行号的问题清单，并可一键自动修复安全项
工具评估评级为 A，确认 HSTS 周期达标且 CSP 无不安全指令，同时给出了进一步配置 Permissions-Policy 等 Warning 头的优化建议。