Какие заголовки безопасности важны для сайта?

Чаще всего в первую очередь смотрят на HSTS, Content-Security-Policy, X-Frame-Options и X-Content-Type-Options. Ещё полезны Referrer-Policy и Permissions-Policy. Если этих заголовков нет, у сайта остаются базовые пробелы по безопасности.

Зачем проверять Cache-Control и ETag?

Эти заголовки показывают, как сайт работает с кешем. Если всё настроено нормально, повторные загрузки идут быстрее, а сервер получает меньше лишних запросов.

Влияют ли HTTP-заголовки на SEO?

Да, но в основном косвенно: через скорость, индексацию и техническую корректность ответа. Плохое кеширование и ошибочные служебные заголовки легко создают проблемы, которые уже отражаются на SEO.

Как скрыть Server и X-Powered-By?

Обычно это настраивается на стороне веб-сервера. В Nginx используют server_tokens off, в Apache — ServerTokens Prod и отключение X-Powered-By. Конкретная схема зависит от вашего стека.

HTTP-заголовки ответа сервера

Введите адрес страницы и сразу посмотрите, что именно сервер отдаёт в заголовках ответа.

Адреса одного сайта уйдут в аудит в режиме «Список URL»: проверим каждую страницу целиком.

Проверим HTTP-заголовки на всём сайте?

Пара минут — и увидите отчёт по каждой странице.

Проверить сайт

Или нужен взгляд SEO-специалиста? Оставить заявку →

Проверка списком

Вставьте адреса по одному в строке: до 20 адресов без регистрации и до 100 в бесплатном аккаунте. По каждому адресу видны код ответа, X-Robots-Tag, Cache-Control, Last-Modified, Content-Type и размер ответа. Так можно найти страницы, которые сервер закрыл от индексации заголовком, хотя в HTML запрета нет. По редиректам не идём: в строке ответ именно на тот адрес, который вы вставили.

Под таблицей есть кнопка «Запустить аудит по этим адресам»: страницы одного сайта уйдут в полный аудит, и он проверит каждую из них целиком.

Что показывает проверка HTTP-заголовков

Когда браузер открывает страницу, сервер отправляет не только HTML, но и HTTP-заголовки ответа. В них лежит служебная часть: тип контента, правила кеширования, параметры безопасности, информация о сервере и другие технические детали.

Инструмент делает один запрос и показывает заголовки в том виде, в котором их реально отдал сервер. Параллельно можно быстро понять, есть ли базовые настройки безопасности и не забыто ли кеширование.

Что смотреть в первую очередь

Статус ответа — для обычной страницы нужен 200 OK, для редиректа — 301 или 308
Content-Type — у HTML-страниц обычно ожидают text/html; charset=utf-8
Заголовки безопасности — хотя бы HSTS, CSP, X-Frame-Options и X-Content-Type-Options: nosniff
Cache-Control — по нему видно, управляет ли сайт кешем осознанно
Server / X-Powered-By — иногда их специально скрывают, и это нормально

Связанные проверки

SSL-сертификат — проверка TLS: срок, эмитент, протокол
Цепочка редиректов — если сайт отдаёт 301/302
TTFB сервера — скорость ответа вместе с заголовками

Частые вопросы

Что такое HTTP-заголовки ответа?

Это технические поля, которые сервер отправляет вместе с ответом. В них хранится информация о типе контента, кешировании, безопасности и других параметрах страницы.

Какие заголовки безопасности обязательны?

Обычно в первую очередь проверяют HSTS, CSP, X-Frame-Options и X-Content-Type-Options. Это базовый минимум, который чаще всего ждут увидеть.

Влияют ли заголовки на SEO?

Да, косвенно. Через заголовки легко сломать кеширование, индексацию или корректную отдачу контента, а это уже отражается на SEO.

Почему я не вижу Server или X-Powered-By?

Это нормальная практика. Многие специально скрывают эти поля, чтобы не светить стек и версии ПО.

Инструмент бесплатный?

Да, проверка HTTP-заголовков бесплатна и работает без регистрации.

Как проверить X-Robots-Tag и Last-Modified у списка страниц?

Откройте вкладку «Несколько страниц» и вставьте адреса: без регистрации до 20 адресов за раз, в бесплатном аккаунте — до 100 адресов. В таблице по каждому адресу будут X-Robots-Tag, Last-Modified, Cache-Control и код ответа. Фильтры «X-Robots-Tag запрещает индексацию» и «Нет Last-Modified» сразу покажут нужные строки, их можно выгрузить в CSV или XLSX после входа в аккаунт.

Подробнее

Статья SSL и HTTPS для SEO: настройка, миграция, проверка Как перейти на HTTPS: Let's Encrypt, 301-редирект, mixed content и HSTS. Типы SSL-сертификатов, чек-лист миграции и… Статья Как ускорить сайт в 2026: TTFB и Core Web Vitals Core Web Vitals: LCP, INP (вместо FID), CLS и TTFB. Как измерять метрики, какие пороги считать нормой и как ускорить… Справка Проверка HTTP-статусов: 4xx, 5xx и цепочки редиректов