Las cabeceras HTTP son la metainformación que el navegador y el servidor se intercambian en una comunicación HTTP, por separado del cuerpo (body) del mensaje. En el símil de una carta, el cuerpo es el contenido escrito en el papel y las cabeceras son lo que figura en el sobre: el remitente, el destinatario, la fecha.
Se dividen en cabeceras de petición (del navegador al servidor) y cabeceras de respuesta (del servidor al navegador). Entre las primeras destacan User-Agent (el tipo de navegador), Accept (los formatos de datos aceptados) y Cookie (la información de las cookies guardadas); entre las segundas, Content-Type (el tipo de datos), Cache-Control (el control de la caché) y Location (la URL de destino de una redirección).
La redirección de una URL corta es, en sí misma, pura mecánica de cabeceras HTTP. Al acceder a una URL corta, el servidor responde con el código de estado 301 o 302 y con la URL original anotada en la cabecera Location; el navegador lee ese valor y se traslada automáticamente a la página indicada. El trámite se completa casi al instante, por lo que las personas usuarias rara vez notan la redirección.
Las cabeceras relacionadas con la seguridad también son importantes: Strict-Transport-Security (HSTS) fuerza la conexión por HTTPS, X-Frame-Options previene el clickjacking y Content-Security-Policy (CSP) mitiga los ataques XSS. Configurarlas correctamente mejora de forma notable la seguridad de un sitio web.
Las cabeceras HTTP pueden inspeccionarse con las herramientas de desarrollo del navegador (tecla F12, pestaña Network). Si quieres averiguar adónde conduce una URL corta, basta con mirar la cabecera Location en esas herramientas para conocer el destino de la redirección sin necesidad de visitarlo.