Analizar Cabeceras HTTP Gratis – Convierte Headers Crudos en Tabla Clara

Usa el Analizador de Cabeceras HTTP gratuito abajo: tus datos nunca salen de tu navegador, todo el trabajo ocurre en tu dispositivo y no se sube a ningún servidor.

¿Qué son las cabeceras HTTP?

Las cabeceras HTTP son las etiquetas que acompañan a cada petición y respuesta en la web. Antes del contenido real de la página, el navegador y el servidor intercambian líneas como Content-Type: text/html y Cache-Control: max-age=3600. Cada línea tiene un nombre, dos puntos y un valor. Las cabeceras llevan los metadatos: qué tipo de contenido es, cuánto tiempo puede guardarse en caché, qué cookies se aplican, adónde redirigir y qué reglas de seguridad debe aplicar el navegador. Nunca las ves al navegar con normalidad, pero determinan casi todo lo que hace el navegador.

Cuando una página se comporta de forma extraña, las cabeceras suelen ser la causa. Una página que se descarga en lugar de mostrarse suele tener un Content-Type equivocado. Una página que nunca se actualiza puede tener un Cache-Control demasiado agresivo. Un inicio de sesión que falla entre subdominios puede tener una cookie con un ámbito demasiado estrecho. Aprender a leer cabeceras convierte problemas vagos como el sitio está roto en problemas concretos como el servidor envía no-store para cada página, y los problemas concretos tienen soluciones concretas.

Cómo usar el analizador

Copia cabeceras crudas desde las herramientas de desarrollo de tu navegador, en la pestaña Red, o desde un comando como curl -I https://example.com, y pégalas en la casilla. Pulsa Analizar, y la herramienta divide cada línea por los primeros dos puntos en nombre y valor, une las líneas plegadas de continuación con su cabecera y muestra una tabla limpia. Las cabeceras duplicadas, como varias líneas Set-Cookie, se mantienen como filas separadas, porque unirlas perdería información.

Debajo de la tabla, la herramienta revisa cinco cabeceras de seguridad comunes: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options y Referrer-Policy. Las que faltan se listan, para que veas de un vistazo qué no ha configurado un sitio. El botón Copiar como JSON te da los mismos datos como un array JSON, útil para incidencias, documentación o para alimentar otro script. Todo el análisis ocurre en tu navegador, así que las cabeceras pegadas nunca salen de tu máquina.

Cabeceras que vale la pena conocer

Content-Type dice al navegador qué es el cuerpo, y la parte charset le dice cómo decodificar el texto. Equivocarse aquí produce caracteres extraños o descargas forzadas. Cache-Control dice a navegadores y proxies cuánto tiempo reutilizar una respuesta, y un valor equivocado es una causa clásica de contenido obsoleto. Location lleva la nueva dirección en una redirección, y debe estar presente en las respuestas 3xx para ser útil. Set-Cookie fija cookies, con banderas como Secure, HttpOnly y SameSite que controlan dónde se envían y si los scripts pueden leerlas.

Las cabeceras de seguridad son las trabajadoras silenciosas. Strict-Transport-Security dice a los navegadores que usen solo HTTPS para un sitio, lo que bloquea ataques de degradación. Content-Security-Policy limita qué orígenes pueden cargar scripts y estilos, lo que frena el scripting entre sitios. X-Content-Type-Options: nosniff impide que los navegadores adivinen un tipo de contenido distinto del declarado. X-Frame-Options y frame-ancestors controlan si una página puede incrustarse en un marco, lo que bloquea el clickjacking. Referrer-Policy limita cuánto de la URL de origen se comparte con otros sitios. Ninguna sustituye a programar con cuidado, pero juntas elevan el coste de los ataques comunes.

Una advertencia

Las cabeceras a menudo contienen valores sensibles, sobre todo líneas Authorization y Cookie. El analizador marca esas filas con un signo de advertencia como recordatorio. Esta herramienta funciona por completo en tu navegador, así que pegar aquí es más seguro que en una herramienta online cualquiera, pero el hábito sigue importando: nunca pegues tokens activos en una página pública, en una captura compartida o en una incidencia de soporte sin quitarlos primero. Los tokens son contraseñas con otro nombre, y un token filtrado es un inicio de sesión filtrado.

Cuando informes de un problema de cabeceras, pega el conjunto más pequeño que lo muestre y oculta los valores que identifican una sesión. Los buenos informes de errores nombran la cabecera, citan su valor y dicen qué esperabas en su lugar. Ese hábito, más un analizador que convierte un muro de texto en una tabla legible, hace que depurar cabeceras sea más rápido para ti y más claro para quien te ayude.

Herramientas relacionadas

• HTTP Header Parser (English version)
• Generador de Direcciones MAC
• Generador de Datos Falsos para Pruebas