Vérificateur de redirections
Nous demandons l’URL et chaque Location qu’elle indique, jusqu’à 10 sauts. Chaque saut est résolu et revérifié avant la connexion, et le contenu des réponses n’est jamais lu.
Un lien passe souvent par plusieurs adresses avant qu’une page ne s’affiche : http vers https, le domaine nu vers www, un lien de suivi ou raccourci vers sa destination. Chaque étape est une redirection HTTP : un code 3xx avec un en-tête Location.
L’outil suit la chaîne saut par saut et affiche chaque code et chaque destination. Il signale les passages vers et depuis HTTPS, les changements d’hôte, les redirections permanentes (301, 308) et temporaires (302, 303, 307), et s’arrête sur une boucle ou après dix sauts.
Chaque saut est résolu à nouveau et vérifié avant la connexion, de sorte qu’une URL publique ne peut pas rediriger notre serveur vers un réseau privé ; la connexion est liée à l’adresse vérifiée. Seuls les ports 80 et 443 sont autorisés, et les corps de réponse ne sont jamais lus.
Questions fréquentes
301 ou 302 ?
301 et 308 sont permanentes : les moteurs de recherche transfèrent la valeur de l'ancienne adresse vers la nouvelle et les navigateurs peuvent mettre la redirection en cache. 302, 303 et 307 sont temporaires.
Pourquoi la chaîne s'arrête-t-elle sur une adresse privée ?
Une redirection vers un réseau privé ou réservé est précisément ce qu'exploite une attaque SSRF. Nous ne suivons jamais de telles redirections.
Combien de redirections, c'est trop ?
Chaque saut coûte au moins un aller-retour. Une redirection (http vers https, ou domaine vers www) est normale ; une chaîne de trois étapes ou plus mérite d'être raccourcie.
Voir aussi
- En-têtes de sécuritéHSTS, CSP et les autres en-têtes protecteurs d’un site public.
- En-têtes HTTPVos en-têtes de requête et les en-têtes de réponse de n’importe quelle URL publique.
- Vérifier un certificat TLSLe certificat présenté par un serveur, sa chaîne et son expiration.
- Recherche DNSA, AAAA, MX, TXT, NS, SOA, CAA et plus, avec TTL.