เช็ค HTTP Headers

Headers คือใบตรวจสุขภาพที่เว็บส่วนใหญ่ไม่เคยเปิดดู

ทุกครั้งที่มีคนเปิดเว็บคุณ server ส่ง "จดหมายนำ" มาชุดหนึ่งก่อนเนื้อหาจริง — ในนั้นบอกหมดว่าเว็บบีบอัดไหม ตั้ง cache อย่างไร และมีเกราะกันโจมตีอะไรบ้าง เว็บไทยจำนวนมากรันมาหลายปีโดยไม่มี security header สักตัว ไม่ใช่เพราะยาก แต่เพราะไม่มีใครเคยเปิดดู เครื่องมือนี้เปิดให้ดูครบทุกบรรทัด พร้อมสรุปว่าขาดตัวไหนที่ควรมี

อ่านผลเสร็จแล้วทำอะไรต่อ

• ขาด strict-transport-security → เปิด HSTS ที่ server หรือ Cloudflare (SSL/TLS → Edge Certificates)
• ขาด x-content-type-options / x-frame-options → เพิ่มสองบรรทัดที่ server config จบ
• ไม่เจอการบีบอัด → เปิด gzip/brotli ที่ server หรือ CDN ได้ความเร็วเพิ่มฟรี
• cache-control ว่างเปล่า → ตั้ง cache ให้ไฟล์ static อย่างน้อย 1 เดือน แล้ววัดผลความเร็วรวมอีกทีเมื่อเครื่องมือ เช็คความเร็วเว็บไซต์ เปิดใช้

คำถามที่พบบ่อย

Security headers มีผลกับอันดับ Google ไหม

ไม่ใช่ ranking factor ตรง ๆ — แต่เว็บที่ไม่มีเกราะพวกนี้เสี่ยงโดนฝัง iframe หลอก โดน XSS หรือโดน hack ซึ่งพอโดนจริง Google ขึ้นป้าย "เว็บไซต์นี้อาจเป็นอันตราย" แล้วอันดับกับทราฟฟิกหายเป็นเดือน แก้ก่อนเกิดถูกกว่าแก้หลังเกิดเสมอ

ควรเริ่มจาก header ตัวไหนถ้ายังไม่มีสักตัว

สามตัวแรกที่ได้ผลคุ้มแรงสุด: strict-transport-security (บังคับ https), x-content-type-options: nosniff และ x-frame-options: SAMEORIGIN — ทั้งหมดเพิ่มได้ในไม่กี่บรรทัดที่ server หรือคลิกเดียวถ้าใช้ Cloudflare ส่วน CSP เก็บไว้ทำทีหลังเพราะตั้งผิดแล้วเว็บพังได้

ตรวจแล้วไม่เจอ content-encoding แปลว่าเว็บไม่บีบอัดใช่ไหม

ยังสรุปไม่ได้ทันที — บาง server ไม่บีบอัดไฟล์เล็กหรือไม่บีบอัดตอบ bot ลองเช็คซ้ำกับหน้าที่มีเนื้อหายาว ๆ ถ้ายังไม่เจอ gzip หรือ br ค่อยไปเปิดที่ server/CDN ซึ่งช่วยลดขนาดหน้าได้มากโดยไม่ต้องแก้โค้ดเลย

เครื่องมือฟรีตัวอื่น