İstek nasıl yapılır?
- Önce HEAD: Yalnızca başlıkları ister. Sunucu HEAD’i desteklemiyorsa (405 veya 501) tek baytlık
Rangeile GET denenir; gövde yine okunmaz. - Yönlendirmeler elle izlenir: En çok 5 adım. Her adımın adresi yeniden doğrulanır, böylece genel bir adres sizi özel bir ağa yönlendirse bile istek oraya gitmez.
- Sınırlar: Yalnızca
httpvehttps; portlar 80, 443, 8000, 8080, 8443 ve 8888. Toplam süre 8 saniye, başlık boyutu 32 KB ile sınırlıdır. - Özel adresler engellenir: Özel ağ, loopback ve benzeri hedeflere istek atılmaz.
Durum kodları
| Kod | Anlamı | Ne yapmalı? |
|---|---|---|
| 200 | İstek başarılı | Başlıkları okuyun. |
| 301 / 308 | Kalıcı yönlendirme | Location başlığındaki yeni adresi kullanın. |
| 302 / 307 | Geçici yönlendirme | Adresi kalıcı olarak değiştirmeyin. |
| 401 / 403 | Kimlik doğrulama gerekli / erişim yasak | Yetkilendirme ayarını ve engelleme kurallarını denetleyin. |
| 404 | Kaynak yok | Adresi ve yolu kontrol edin. |
| 429 | Çok fazla istek | Retry-After başlığına göre bekleyin. |
| 5xx | Sunucu hatası | Sunucu günlüklerine bakın. |
Güvenlik başlıkları
Araç yedi güvenlik başlığının var olup olmadığını denetler. Yokluk bir açık anlamına gelmez, ama tarayıcının sunabileceği bir korumanın açılmadığını gösterir.
| Başlık | Ne yapar? |
|---|---|
Strict-Transport-Security | Tarayıcıyı siteye yalnızca HTTPS ile bağlanmaya zorlar. Düz HTTP yanıtında bir etkisi yoktur. |
Content-Security-Policy | Sayfanın hangi kaynaklardan betik, stil ve görsel yükleyebileceğini sınırlar. |
X-Content-Type-Options | nosniff değeriyle tarayıcının içerik türünü tahmin etmesini engeller. |
X-Frame-Options | Sayfanın başka bir sitede çerçeve içinde gösterilmesini kısıtlar. |
Referrer-Policy | Başka sitelere giderken Referer başlığında ne kadar bilgi gönderileceğini belirler. |
Permissions-Policy | Kamera, konum gibi tarayıcı özelliklerinin kullanımını kısıtlar. |
Cross-Origin-Opener-Policy | Açılan pencereler arasındaki ilişkiyi yalıtarak çapraz kaynak saldırılarını zorlaştırır. |
Proxy ile ilişkisi
Bu araç isteği kendi sunucumuzdan gönderir, proxy’nizden değil. Bir proxy üzerinden aynı adresin başlıklarını görmek için komut satırında -x seçeneğini kullanın; proxy’nin kendisinin sağlıklı olup olmadığını ise proxy kontrol aracı ölçer. Aşağıdaki iki komut aynı sonucu iki farklı yoldan alır:
Bash
# Doğrudan; -L yönlendirmeleri izler
curl -sIL https://example.com/
# Proxy üzerinden
curl -sI -x http://KULLANICI:[email protected]:8080 https://example.com/Önbellek ve bilgi ifşası
Araç Cache-Control, ETag, Last-Modified, Expires, Age ve Vary değerlerini tek satırlık bir özete çevirir. Server ve X-Powered-By gibi başlıklar sunucu yazılımını ve sürümünü açık ediyorsa ayrıca listelenir; saldırganlara gereksiz ipucu vermemek için bu bilgileri kapatmak iyi bir alışkanlıktır.