Cómo se usa
- 1Escribe una URL, como
https://example.com/page, o solo un dominio:https://se añade automáticamente. - 2Haz clic en Comprobar cabeceras. Se sigue cada redirección paso a paso, hasta un máximo de 10.
- 3Consulta la cadena de redirecciones: cada paso muestra su código de estado, su dirección y su tiempo de respuesta. Abre un paso para ver sus cabeceras.
- 4Revisa las cabeceras de seguridad y todas las cabeceras de respuesta de la página final, y cópialas si necesitas compartirlas.
Qué significan los códigos de estado HTTP
Cada respuesta empieza con un código de estado de tres dígitos. 2xx significa éxito: 200 OK es una página normal. Los códigos 3xx son redirecciones que envían al navegador a otro sitio. Los códigos 4xx son errores del cliente, como 404 Not Found o 403 Forbidden, y los 5xx indican que el servidor falló, como 500 Internal Server Error o 503 Service Unavailable.
Las cabeceras viajan junto con el código de estado. Le dicen al navegador qué tipo de contenido es (Content-Type), durante cuánto tiempo puede guardarse en caché (Cache-Control), qué cookies debe almacenar (Set-Cookie) y mucho más: información que nunca ves en la propia página.
Redirecciones: 301, 302, 307 y 308
301 Moved Permanently y 308 Permanent Redirect indican a los navegadores y los buscadores que una página se ha trasladado definitivamente, así que los enlaces y el posicionamiento pasan a la nueva dirección. 302 Found y 307 Temporary Redirect significan que el traslado es temporal y que la URL antigua se mantiene en los resultados de búsqueda. Además, 307 y 308 garantizan que el método de la solicitud no cambie, algo importante en formularios y API.
Cada salto adicional cuesta un viaje de ida y vuelta y ralentiza la primera visita, así que redirige las URL antiguas directamente a su dirección final: http://example.com directamente a https://www.example.com/, no en dos pasos. Google sigue hasta 10 redirecciones seguidas y los navegadores unas 20; los bucles no terminan nunca.
Cabeceras de seguridad que vale la pena configurar
Strict-Transport-Security (HSTS) hace que los navegadores usen HTTPS en tu sitio aunque alguien escriba http://. Content-Security-Policy limita desde dónde se pueden cargar los scripts y otros recursos, lo que frena el cross-site scripting. X-Content-Type-Options: nosniff impide que los navegadores adivinen el tipo de los archivos, y frame-ancestors o X-Frame-Options evitan que otros sitios muestren tus páginas en un marco para hacer clickjacking.
Referrer-Policy controla qué parte de tus URL se envía a otros sitios, y Permissions-Policy desactiva las funciones del navegador que no usas, como la cámara o la geolocalización. Ninguna sustituye a un código seguro, pero juntas cierran brechas habituales con muy poco esfuerzo.
Preguntas frecuentes
¿Cómo compruebo si una redirección es 301 o 302?
Escribe la URL antigua y mira la cadena de redirecciones: cada paso muestra su código de estado. Las 301 y 308 son permanentes, y las 302 y 307, temporales. La cadena también muestra adónde apunta cada redirección, así que puedes detectar saltos innecesarios.
¿Cómo puedo ver las cabeceras HTTP de un sitio web?
Escribe aquí la dirección y, al final, verás todas las cabeceras de respuesta de la página final. En un navegador, abre las herramientas para desarrolladores (F12), elige la pestaña Red y haz clic en la primera solicitud. En una terminal, curl -I https://example.com muestra las cabeceras.
¿Por qué este comprobador muestra cabeceras distintas de las de mi navegador?
Los servidores pueden responder de forma distinta según la solicitud. Tu navegador envía cookies, admite compresión y tiene su propio user agent, y una CDN puede servir una copia en caché o regional. Esta herramienta envía desde nuestro servidor una solicitud simple sin cookies, de forma parecida a como lo hace el rastreador de un buscador.
¿Qué causa un bucle de redirecciones?
Las redirecciones vuelven a una dirección que ya se visitó, así que el navegador nunca llega a una página y muestra «demasiadas redirecciones». Suele deberse a dos reglas que chocan entre sí (por ejemplo, una CDN que redirige HTTP a HTTPS mientras el servidor redirige HTTPS de vuelta a HTTP) o a una redirección de inicio de sesión que depende de una cookie.
¿Qué cabeceras de seguridad debería tener todo sitio web?
Como mínimo, Strict-Transport-Security, X-Content-Type-Options: nosniff, protección contra marcos con frame-ancestors o X-Frame-Options y una Referrer-Policy. Una Content-Security-Policy es la que mejor protege, pero hay que probarla, así que empieza con una política en modo report-only y pasa a aplicarla cuando compruebes que nada se rompe.