Outil gratuit · 100 % navigateur
HTTP Security Inspector
Calcul : Fetch Headers (WHATWG), HTTP Semantics (IETF)
Message HTTP brut
Requête ou réponse HTTP/1 copiée depuis Burp, un proxy ou un terminal. Limite : 1 Mio. Rien n’est envoyé ni rejoué.
Résumé
Analyse de sécurité
En-têtes conservés dans leur ordre
| # | Nom | Valeur |
|---|
Cookies de réponse
| Cookie | Secure | HttpOnly | SameSite | Analyse de sécurité |
|---|
Export expurgé
Commande curl expurgée
Qu’est-ce qu’un message HTTP ?
Un message HTTP associe une ligne de requête ou de statut, des champs d’en-tête et un corps optionnel. En HTTP/1, les intermédiaires doivent s’accorder exactement sur les limites du message. Des divergences autour de Content-Length, Transfer-Encoding ou des séparateurs peuvent produire une désynchronisation entre proxy et serveur.
Les limites d’un message HTTP/1
La ligne vide sépare les en-têtes du corps. Content-Length annonce une longueur en octets ; Transfer-Encoding: chunked encode le corps en blocs. Un message qui porte les deux, des longueurs différentes ou des lignes tolérées seulement par certains composants doit être rejeté avant d’atteindre un autre parseur.
Headers, cookies et CORS
Les en-têtes de sécurité sont contextuels. Une API JSON n’a pas les mêmes besoins qu’une page HTML, et un cookie lisible par JavaScript peut être intentionnel. L’outil produit donc des points à vérifier, pas un certificat de conformité.
?Questions fréquentes
L’outil envoie-t-il la requête ?
Non. Il ne contient aucun client réseau. Il découpe uniquement le texte collé et utilise l’API Headers du navigateur pour contrôler chaque nom et valeur.
L’outil peut-il prouver un request smuggling ?
Non. Il signale des formes ambiguës comme CL.TE, des longueurs contradictoires ou LF seul. Une vulnérabilité dépend des parseurs exacts du front-end et du back-end et doit être validée dans un environnement autorisé.
Que masque l’export expurgé ?
Authorization, Proxy-Authorization, Cookie, Set-Cookie, les en-têtes ressemblant à des secrets et les paramètres sensibles de l’URL. Les secrets nommés des corps JSON et formulaire sont remplacés ; les autres corps sont omis. Relisez toujours l’export avant de le partager.
+Autres outils
- *-srcCSP Evaluator
Trouvez les contournements d’une Content Security Policy.
- ://URL Inspector
Décomposez et normalisez une URL avec le parseur réel du navigateur.
- APIOpenAPI Auditor
Inventoriez les routes, schémas d’authentification et faiblesses d’un contrat API.
Audit technique
Faire vérifier une application ou une infrastructure
Pour une analyse par notre équipe, indiquez les systèmes concernés, les accès disponibles et les tests souhaités dans votre demande.