Comprobador de redirecciones
Solicitamos la URL y cada Location a la que apunta, hasta 10 saltos. Cada salto se resuelve y se vuelve a comprobar antes de conectar, y el contenido de las respuestas nunca se lee.
Un enlace suele pasar por varias direcciones antes de mostrar una página: de http a https, del dominio sin prefijo a www, de un enlace de seguimiento o acortado a su destino. Cada paso es una redirección HTTP: un código 3xx con una cabecera Location.
La herramienta sigue la cadena salto a salto y muestra cada código y cada destino. Señala los cambios hacia y desde HTTPS, los cambios de host y las redirecciones permanentes (301, 308) y temporales (302, 303, 307), y se detiene ante un bucle o tras diez saltos.
Cada salto se resuelve de nuevo y se comprueba antes de conectar, de modo que una URL pública no puede redirigir nuestro servidor a una red privada; la conexión queda fijada a la dirección comprobada. Solo se permiten los puertos 80 y 443 y nunca se leen los cuerpos de las respuestas.
Preguntas frecuentes
¿301 o 302?
301 y 308 son permanentes: los buscadores trasladan el valor de la dirección antigua a la nueva y los navegadores pueden almacenar la redirección. 302, 303 y 307 son temporales.
¿Por qué la cadena se detiene en una dirección privada?
Una redirección a una red privada o reservada es exactamente lo que aprovecha un ataque SSRF. Nunca seguimos ese tipo de redirecciones.
¿Cuántas redirecciones son demasiadas?
Cada salto cuesta al menos un viaje de ida y vuelta. Una redirección (http a https o dominio a www) es normal; conviene acortar cadenas de tres pasos o más.
Relacionado
- Cabeceras de seguridadHSTS, CSP y demás cabeceras protectoras de un sitio público.
- Cabeceras HTTPTus cabeceras de solicitud y las cabeceras de respuesta de cualquier URL pública.
- Comprobar certificado TLSEl certificado que presenta un servidor, su cadena y su caducidad.
- Búsqueda DNSA, AAAA, MX, TXT, NS, SOA, CAA y más, con TTL.