HTTP रिस्पॉन्स हेडर चेकर
लाइव HTTP response headers की जांच करें, OWASP सुरक्षा हेडर्स (HSTS, CSP, X-Frame-Options) का मूल्यांकन करें, और कैप्टिव पोर्टल रीडायरेक्ट हेडर्स का ऑडिट करें।
किसी URL के HTTP response headers की जांच करें
Probes are executed server-side from Purple edge network infrastructure. Response headers represent external client inspection without browser cache interference.
वेब सुरक्षा और कैप्टिव पोर्टल के लिए response headers क्यों महत्वपूर्ण हैं
HTTP response headers कैशिंग नीतियों, रीडायरेक्ट व्यवहार, कंटेंट mime प्रकारों और वेब एप्लिकेशन व कैप्टिव पोर्टल की सुरक्षा स्थिति को नियंत्रित करते हैं। वेन्यू स्प्लैश पेजों और गेस्ट WiFi नेटवर्क के लिए, सुरक्षा हेडर्स का न होना या गलत तरीके से कॉन्फ़िगर किया गया HSTS प्रीलोडिंग गंभीर ब्राउज़र SSL चेतावनियों को ट्रिगर कर सकता है या कैप्टिव नेटवर्क रीडायरेक्शन को बाधित कर सकता है। यह टूल किसी भी लक्षित URL का सर्वर-साइड प्रोब करता है, सभी रॉ response headers को पार्स करता है, और प्रमुख OWASP सुरक्षा सुरक्षा उपायों को ग्रेड देता है।
यह टूल क्या विश्लेषण करता है
- महत्वपूर्ण सुरक्षा हेडर्स जिनमें HSTS, Content-Security-Policy, X-Frame-Options, और X-Content-Type-Options शामिल हैं।
- HTTP स्टेटस कोड, रीडायरेक्ट लोकेशन (301, 302, 307, 308), और कैप्टिव पोर्टल API अनुकूलता (RFC 8908)।
- सर्वर सॉफ़्टवेयर प्रकटीकरण, कैशिंग हेडर्स (Cache-Control, ETag), और गोपनीयता नीतियां (Referrer-Policy, Permissions-Policy)।
OWASP security headers benchmark and directives
Web servers and captive portal splash pages must deploy hardening headers to prevent data interception, credential theft, and script injection. The table below outlines the core security headers defined by OWASP and IETF standards:
| Header name | Specification | Recommended directive | Risk if missing |
|---|---|---|---|
| Strict-Transport-Security (HSTS) | RFC 6797 | max-age=31536000; includeSubDomains; preload | Critical |
| Content-Security-Policy (CSP) | W3C CSP Level 3 | default-src 'self'; script-src 'self' https:; object-src 'none'; | Critical |
| X-Frame-Options | RFC 7034 | DENY or SAMEORIGIN | High |
| X-Content-Type-Options | Fetch Spec | nosniff | High |
| Referrer-Policy | W3C Referrer Policy | strict-origin-when-cross-origin | Medium |
| Permissions-Policy | W3C Draft | camera=(), microphone=(), geolocation=() | Medium |
| Cross-Origin-Opener-Policy (COOP) | HTML Spec | same-origin | Low |
Captive portal HTTP response codes and redirect mechanics
Captive network assistants (such as Apple iOS CNA, Android CaptivePortalLogin, and Windows NCSI) probe specific HTTP endpoints upon WiFi association. Understanding HTTP response codes ensures seamless visitor onboarding without triggering certificate warnings:
The client has authenticated or is loading portal stylesheets/scripts. Requires correct Content-Type.
Standard HTTP redirect sent by wireless controllers to route unauthenticated devices to splash page.
Ensures POST requests and payload bodies remain intact without downgrading to GET requests.
Returns machine-readable JSON indicating captive state, login URL, and seconds remaining without HTTP interception.
अक्सर पूछे जाने वाले प्रश्न
सार्वजनिक गेस्ट WiFi पर HSTS प्रीलोडिंग कैप्टिव पोर्टल लॉगिन पेजों को क्यों बाधित करती है?
preload निर्देश के साथ HTTP Strict Transport Security (HSTS) ब्राउज़रों को बिना एन्क्रिप्टेड HTTP कनेक्शन को अस्वीकार करने और सर्टिफिकेट त्रुटि ओवरराइड की अनुमति न देने का निर्देश देता है। जब कोई गेस्ट WiFi से कनेक्ट होता है और HSTS-प्रीलोडेड डोमेन (जैसे google.com) खोलने का प्रयास करता है, तो वायरलेस कंट्रोलर का HTTP इंटरसेप्शन उस डोमेन के लिए एक वैध सर्टिफिकेट प्रस्तुत नहीं कर सकता है। ब्राउज़र कैप्टिव पोर्टल पर रीडायरेक्ट करने के बजाय एक गंभीर SSL चेतावनी प्रदर्शित करता है। आधुनिक नेटवर्क RFC 8908 Captive Portal API या Apple/Android कैप्टिव पोर्टल प्रोब डोमेन (जैसे captive.apple.com) का उपयोग करते हैं जो जानबूझकर HSTS को छोड़ देते हैं।
कैप्टिव पोर्टल स्प्लैश पेजों के लिए कौन से Content-Security-Policy (CSP) हेडर्स अनुशंसित हैं?
कैप्टिव पोर्टल स्प्लैश पेजों को एक संतुलित CSP की आवश्यकता होती है जो क्रॉस-साइट स्क्रिप्टिंग (XSS) को रोकते हुए आवश्यक प्रमाणीकरण संपत्तियों (assets) की अनुमति देता है। नीति को विश्वसनीय CDNs और सोशल लॉगिन पहचान प्रदाताओं (जैसे Google, Apple, और Microsoft) से स्क्रिप्ट और स्टाइल की अनुमति देनी चाहिए, जबकि default-src 'self' को प्रतिबंधित करना चाहिए और अविश्वसनीय इनलाइन स्क्रिप्ट निष्पादन को रोकना चाहिए। इसके अतिरिक्त, सोशल ऑथ रीडायरेक्ट डोमेन को नेटवर्क कंट्रोलर के Walled Garden में व्हाइटलिस्ट किया जाना चाहिए।
X-Frame-Options गेस्ट WiFi लॉगिन फ़ॉर्म को क्लिकजैकिंग से कैसे बचाता है?
X-Frame-Options: DENY या SAMEORIGIN हेडर (और आधुनिक CSP frame-ancestors निर्देश) दुर्भावनापूर्ण तृतीय-पक्ष वेबसाइटों को एक अदृश्य iframe के अंदर कैप्टिव पोर्टल लॉगिन फ़ॉर्म को रेंडर करने से रोकता है। यह क्लिकजैकिंग हमलों को समाप्त करता है जहां हमलावर विज़िटर्स को लॉगिन क्रेडेंशियल या सोशल ऑथराइजेशन टोकन सबमिट करने के लिए धोखा देते हैं।
कैप्टिव पोर्टल वर्कफ़्लो में HTTP 302 और HTTP 307 रीडायरेक्ट के बीच क्या अंतर है?
प्रारंभिक HTTP अनुरोधों को स्प्लैश पेज URL पर रीडायरेक्ट करने के लिए लीगेसी नेटवर्क कंट्रोलर्स द्वारा आमतौर पर एक HTTP 302 Found रीडायरेक्ट का उपयोग किया जाता है, लेकिन क्लाइंट POST अनुरोधों को GET में बदल सकते हैं। एक HTTP 307 Temporary Redirect गारंटी देता है कि रीडायरेक्शन के दौरान HTTP विधि और अनुरोध बॉडी अपरिवर्तित रहें। आधुनिक कैप्टिव नेटवर्क के लिए, RFC 8908 एक मानकीकृत JSON एंडपॉइंट प्रदान करता है जो HTTP इंटरसेप्शन को पूरी तरह से समाप्त कर देता है।
एंटरप्राइज़ वेब एप्लिकेशन्स के लिए X-Content-Type-Options: nosniff क्यों आवश्यक है?
X-Content-Type-Options: nosniff हेडर ब्राउज़रों को Content-Type हेडर में घोषित MIME प्रकार का कड़ाई से पालन करने के लिए बाध्य करता है। यह MIME-sniffing हमलों को रोकता है जहां उपयोगकर्ताओं द्वारा अपलोड की गई फ़ाइलें या दुर्भावनापूर्ण टेक्स्ट स्निपेट कमजोर ब्राउज़रों में निष्पादन योग्य JavaScript या CSS के रूप में निष्पादित होते हैं।
Permissions-Policy हेडर सार्वजनिक WiFi पोर्टल पर विज़िटर की गोपनीयता को कैसे बढ़ाते हैं?
Permissions-Policy (पूर्व में Feature-Policy) साइट ऑपरेटरों को ब्राउज़र संदर्भ के भीतर कैमरा, माइक्रोफ़ोन, जियोलोकेशन और भुगतान अनुरोध जैसे संवेदनशील हार्डवेयर APIs को अक्षम करने की अनुमति देता है। गेस्ट WiFi लैंडिंग पेजों पर अप्रयुक्त डिवाइस सुविधाओं को अक्षम करने से विज़िटर्स को यह आश्वासन मिलता है कि पोर्टल डेटा गोपनीयता मानकों का सम्मान करता है।
Explore companion WiFi and infrastructure tools
SSL Certificate Checker →
Inspect live TLS certificate validity, expiration dates, and Certificate Authority trust chains.
DNS Record Lookup →
Query A, AAAA, MX, TXT (SPF/DMARC), and CAA records across global DNS resolvers.
Walled Garden Generator →
Generate pre-tested walled garden allowlists for Meraki, Aruba, Ruckus, and UniFi controllers.
Access Point Calculator →
Estimate AP capacity, RF attenuation, and PoE power budgets for venue wireless deployments.
Securing captive portal traffic across enterprise networks?
Headers are one defensive layer. Purple manages enterprise captive portal hosting, SSL/TLS certificates, and compliant redirect architecture across Cisco Meraki, HPE Aruba, Ruckus, and Juniper Mist.
Book a 20-min demoNetforge Network Multi-Tool
Run offline network health checks, path analysis, and latency diagnostic scans directly from your desktop.
Download Multi-Tool