Un controllo degli header è una revisione degli header di risposta HTTP per determinare come un'applicazione applica le regole di accesso. Nella sicurezza web, questo spesso significa esaminare header come i campi relativi a CORS per vedere se a un browser sarà consentito esporre una risposta a un altro origin. Il controllo è utile perché le decisioni di controllo degli accessi possono essere codificate in una sola riga e un piccolo errore può ampliare inaspettatamente la fiducia.
I controlli degli header sono importanti sia nei test sia nella difesa. I team di sicurezza li usano per verificare che gli origin consentiti siano esatti, che le eccezioni non siano troppo ampie e che il comportamento resti coerente tra richieste e casi limite. Gli attaccanti e i ricercatori di bug bounty usano gli stessi controlli per individuare configurazioni errate in cui un browser può leggere dati che dovrebbero rimanere isolati. In pratica, un buon controllo degli header trasforma la revisione delle policy in qualcosa di ripetibile e misurabile.