ऑनलाइन मुफ़्त में वेबसाइट सिक्योरिटी हेडर कैसे जाँचें (2026 गाइड)

जब आपका ब्राउज़र कोई वेबसाइट लोड करता है, तो दिखने वाला पेज बातचीत का सिर्फ़ आधा हिस्सा है। पर्दे के पीछे, सर्वर HTTP सिक्योरिटी हेडर भी भेजता है — अदृश्य निर्देश जो ब्राउज़र को बताते हैं कि कैसे व्यवहार करना है: सिर्फ़ एन्क्रिप्टेड कनेक्शन इस्तेमाल करें, इस पेज को दूसरी साइटों द्वारा फ़्रेम न करने दें, अनपेक्षित स्क्रिप्ट स्रोतों को ब्लॉक करें। ये किसी भी साइट मालिक द्वारा लगाए जा सकने वाले सबसे सस्ते, सबसे प्रभावी बचावों में से एक हैं, और आगंतुकों के लिए पूरी तरह अदृश्य हैं। यह गाइड दिखाती है कि हमारे मुफ़्त सिक्योरिटी हेडर चेकर से किसी भी साइट के हेडर का ऑडिट कैसे करें, हर हेडर का सरल हिंदी में क्या मतलब है, और परिणामों के साथ क्या करना है।

सिक्योरिटी हेडर क्या हैं?

हर वेब रिस्पॉन्स में हेडर होते हैं — पेज सामग्री से पहले भेजी गई छोटी key/value मेटाडेटा लाइनें। ज़्यादातर साधारण होती हैं (कंटेंट टाइप, कैशिंग)। सिक्योरिटी हेडर वह उपसमूह है जो उस साइट के लिए ब्राउज़र के व्यवहार को मज़बूत बनाता है। इन्हें भेजने में कुछ ख़र्च नहीं होता, उपयोगकर्ता की कोई कार्रवाई नहीं चाहिए, और ये हमलों की पूरी श्रेणियों को कम करते हैं: जासूसी, क्लिकजैकिंग, क्रॉस-साइट स्क्रिप्टिंग, और कंटेंट-टाइप भ्रम। हेडर से वंचित साइट ज़रूरी नहीं कि "हैक" हो गई हो — लेकिन वह मुफ़्त सुरक्षा को मेज़ पर छोड़ रही है।

चरण 1: वेबसाइट का URL डालें

सिक्योरिटी हेडर चेकर खोलें और कोई वेबसाइट पता टाइप करें — टेस्ट के लिए example.com ठीक चलेगा। आप कोई भी सार्वजनिक साइट जाँच सकते हैं: अपनी, अपने नियोक्ता की, या जिसकी आपको बस उत्सुकता हो। हेडर जाँचना एक सामान्य, हानिरहित निदान है — आप सिर्फ़ वही सार्वजनिक रिस्पॉन्स हेडर पढ़ रहे हैं जो कोई भी ब्राउज़र प्राप्त करता है।

चरण 2: जाँच चलाएँ

Check Headers पर क्लिक करें। टूल साइट के रिस्पॉन्स हेडर लाता है और महत्वपूर्ण सिक्योरिटी हेडर का मूल्यांकन करता है। सेकंडों में आपको प्रति-हेडर रिपोर्ट मिल जाती है।

एक चेतावनी: कुछ साइटें क्रॉस-ओरिजिन हेडर जाँच को ब्लॉक करती हैं, इसलिए कभी-कभी किसी साइट को ब्राउज़र-आधारित टूल से स्कैन नहीं किया जा सकता। ऐसा होने पर टूल आपको बता देगा — और गहरी स्कैन के लिए आप प्रसिद्ध securityheaders.com सेवा भी आज़मा सकते हैं।

चरण 3: परिणाम पढ़ें — हरा मतलब मौजूद, लाल मतलब ग़ायब

हर हेडर को एक सरल फ़ैसला मिलता है: हरा मतलब हेडर मौजूद है, लाल मतलब यह ग़ायब है। लाल देखकर घबराएँ नहीं — रिपोर्ट को उल्लंघन अलर्ट नहीं, काम की सूची समझें। नीचे बताया गया है कि हर हेडर असल में क्या करता है।

हेडर-दर-हेडर, सरल भाषा में

Strict-Transport-Security (HSTS)

ब्राउज़र को बताता है: "इस साइट से सिर्फ़ HTTPS पर ही बात करो, भले ही कोई कनेक्शन को डाउनग्रेड करने की कोशिश करे।" यह sslstrip-शैली के हमलों को हराता है जो चुपचाप एन्क्रिप्शन हटाने की कोशिश करते हैं। लॉगिन या भुगतान संभालने वाली किसी भी साइट को इसे भेजना चाहिए।

Content-Security-Policy (CSP)

एक व्हाइटलिस्ट जो घोषित करती है कि पेज स्क्रिप्ट, स्टाइल और अन्य संसाधन कहाँ से लोड कर सकता है। यह क्रॉस-साइट स्क्रिप्टिंग (XSS) के ख़िलाफ़ उपलब्ध सबसे मज़बूत शमन है: भले ही हमलावर स्क्रिप्ट टैग इंजेक्ट कर दे, ब्राउज़र उसे चलाने से इनकार कर देता है जब तक स्रोत अनुमत न हो। यह सही ढंग से कॉन्फ़िगर करने में सबसे पेचीदा हेडर भी है, इसीलिए कई साइटों में यह नहीं होता।

X-Frame-Options

नियंत्रित करता है कि पेज को किसी दूसरी साइट पर फ़्रेम या iframe में एम्बेड किया जा सकता है या नहीं। DENY या SAMEORIGIN पर सेट होने पर यह क्लिकजैकिंग को ब्लॉक करता है — ऐसे हमले जो क्लिक हाइजैक करने के लिए किसी वैध पेज के ऊपर (या नीचे) अदृश्य दुर्भावनापूर्ण पेज की परत चढ़ाते हैं। (आधुनिक साइटें इसके बजाय CSP का frame-ancestors निर्देश इस्तेमाल कर सकती हैं, जो इसे पीछे छोड़ देता है।)

X-Content-Type-Options

nosniff मान के साथ, यह ब्राउज़रों को किसी फ़ाइल के घोषित कंटेंट टाइप पर दोबारा अंदाज़ा लगाने से रोकता है। इसके बिना, ब्राउज़र किसी अपलोड की गई फ़ाइल को "सूँघ" सकता है, तय कर सकता है कि यह असल में HTML/JavaScript है, और उसे चला सकता है — फ़ाइल अपलोड के ज़रिए हमलों का एक क्लासिक रास्ता।

Referrer-Policy

नियंत्रित करता है कि दूर जाने पर पेज के URL का कितना हिस्सा HTTP Referer के रूप में भेजा जाता है। एक सख़्त नीति (जैसे strict-origin-when-cross-origin या no-referrer) आंतरिक URL, क्वेरी स्ट्रिंग में सत्र टोकन, या निजी पथ को तीसरे पक्ष की साइटों तक लीक होने से रोकती है।

अगर यह आपकी साइट है: ग़ायब हेडर के साथ क्या करें

1. HSTS और X-Content-Type-Options को प्राथमिकता दें — ये लगभग हर सर्वर और वेब फ़्रेमवर्क पर एक लाइन के जोड़ हैं।
2. X-Frame-Options जोड़ें (या CSP frame-ancestors) जब तक आपके पास फ़्रेमिंग की अनुमति देने का कोई विशिष्ट कारण न हो।
3. Content-Security-Policy की सावधानी से योजना बनाएँ। अपने पेज वैध रूप से क्या लोड करते हैं, यह जानने के लिए रिपोर्ट-ओनली नीति से शुरू करें, फिर लागू करें। ग़लत कॉन्फ़िगर की गई CSP आपकी साइट को दिखने वाले रूप में तोड़ देती है, इसलिए पहले स्टेजिंग में टेस्ट करें।
4. हर बदलाव के बाद फिर से स्कैन करें — चेकर से पुष्टि करें कि हेडर असल में भेजे जा रहे हैं।

हेडर सर्वर या एप्लिकेशन स्तर पर सेट किए जाते हैं (वेब सर्वर कॉन्फ़िग, फ़्रेमवर्क मिडलवेयर, या CDN के एज नियम) — सटीक चरण आपके स्टैक पर निर्भर करते हैं, लेकिन हर बड़ा प्लेटफ़ॉर्म इन्हें दस्तावेज़ करता है।

अगर यह किसी और की साइट है: लाल का मतलब कैसे समझें

जिस साइट पर आप सिर्फ़ जाते हैं, उस पर ग़ायब हेडर ध्यान देने योग्य है, घबराने योग्य नहीं। सिक्योरिटी हेडर गहराई में बचाव हैं: उनकी अनुपस्थिति का मतलब यह नहीं है कि साइट समझौता कर ली गई है या वहाँ आपका डेटा उजागर है। इसका मतलब है कि साइट के संचालकों ने मुफ़्त सुरक्षा की एक परत सक्षम नहीं की है। जिन साइटों पर आप संवेदनशील जानकारी डालते हैं, उनके लिए आप उन प्रतिस्पर्धियों को उचित रूप से पसंद कर सकते हैं जो हार्डनिंग को गंभीरता से लेते हैं — लेकिन लाल पंक्ति को ग़लत काम का सबूत न समझें।

हेडर जाँच क्या नहीं बता सकती

यहाँ भी ईमानदारी मायने रखती है। हेडर स्कैन कॉन्फ़िगरेशन जाँचता है, कमज़ोरियों को नहीं: यह SQL इंजेक्शन, टूटी ऑथेंटिकेशन, लीक हुए सीक्रेट, या पुराना सॉफ़्टवेयर नहीं ढूँढ सकता। कोई साइट हेडर में पूरी तरह पास हो सकती है और फिर भी अंदर से असुरक्षित हो सकती है — और कुछ हेडर से वंचित साइट अन्यथा अच्छी तरह इंजीनियर की गई हो सकती है। इसे ऐसे समझें जैसे जाँचना कि घर में डेडबोल्ट हैं या नहीं: उपयोगी जानकारी, पूरी सुरक्षा ऑडिट नहीं।

अक्सर पूछे जाने वाले प्रश्न

क्या किसी वेबसाइट के हेडर जाँचना कानूनी है?

हाँ। आप साइट का सार्वजनिक होमपेज माँग रहे हैं और हर ब्राउज़र को मिलने वाला स्टैंडर्ड रिस्पॉन्स मेटाडेटा पढ़ रहे हैं। यह पेज सोर्स देखने जैसी ही श्रेणी की गतिविधि है।

कुछ साइटों को क्यों नहीं जाँचा जा सकता?

कुछ साइटें क्रॉस-ओरिजिन अनुरोधों को ब्लॉक करती हैं, जो ब्राउज़र-आधारित टूल्स को उनके हेडर पढ़ने से रोकता है। उनके लिए, securityheaders.com जैसा सर्वर-साइड स्कैनर आमतौर पर काम करता है।

क्या सिक्योरिटी हेडर वेबसाइट को धीमा करते हैं?

कोई मापने योग्य प्रभाव नहीं — ये रिस्पॉन्स में कुछ अतिरिक्त बाइट हैं। इन्हें छोड़ने का कोई प्रदर्शन कारण नहीं है।

क्या हेडर जोड़ने से मेरी साइट टूट जाएगी?

ज़्यादातर हेडर सीधे जोड़ना सुरक्षित है। Content-Security-Policy अपवाद है: पहले इसे रिपोर्ट-ओनली मोड में टेस्ट करें, क्योंकि ज़रूरत से ज़्यादा सख़्त नीति वैध स्क्रिप्ट को ब्लॉक करती है और कार्यक्षमता तोड़ देती है।

अभी किसी साइट का ऑडिट करें: मुफ़्त सिक्योरिटी हेडर चेकर · मुफ़्त IP लुकअप · मुफ़्त फ़िशिंग URL चेकर