Humble

Overview

Humble (HTTP Headers Analyzer) sends requests to a target and audits the response headers against a checklist of security best practices — missing Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, overly verbose Server/X-Powered-By banners, deprecated headers, and more. It’s a quick, low-noise check to run early in a web assessment before diving into deeper testing.

Common Usage

Basic header analysis against a URL

python3 humble.py -u https://target.com

Verbose output with detailed findings and fix guidance

python3 humble.py -u https://target.com -v

Only show missing headers (skip informative/fingerprinting output)

python3 humble.py -u https://target.com -b

Compare against a specific guideline (e.g. OWASP)

python3 humble.py -u https://target.com -g owasp

Save results to a file

python3 humble.py -u https://target.com -o report -of html

Notes

• Works well as a fast pre-check before running a full scanner like Nikto or a Burp active scan.
• Combine with -r to also fetch and flag deprecated/insecure headers from a raw request file.
• No authentication or crawling — it’s a single-request/response analyzer, not a spider.

usage: humble.py [-h] (-u URL | -r FILE) [-b] [-c] [-g {owasp,mozilla}]
                  [-o OUTPUT] [-of {html,json,csv}] [-v] [--version]

optional arguments:
  -h, --help            show this help message and exit
  -u URL                URL to analyze (e.g. https://target.com)
  -r FILE               Analyze headers from a raw HTTP request/response file
  -b                    Brief mode — only missing headers
  -c                    Show additional compatibility info
  -g {owasp,mozilla}    Compare against a specific guideline
  -o OUTPUT             Output file basename
  -of {html,json,csv}   Output format
  -v                    Verbose output
  --version             Show version

Vue d’ensemble

Humble (HTTP Headers Analyzer) envoie des requêtes à une cible et audite les en-têtes de réponse par rapport à une checklist de bonnes pratiques de sécurité : Content-Security-Policy manquant, Strict-Transport-Security manquant, X-Frame-Options manquant, bannières Server/X-Powered-By trop verbeuses, en-têtes obsolètes, et plus encore. C’est une vérification rapide et peu bruyante à lancer tôt dans une évaluation web avant de passer à des tests plus approfondis.

Utilisation courante

# Analyse de base des en-têtes contre une URL
python3 humble.py -u https://target.com

# Sortie détaillée avec résultats précis et conseils de correction
python3 humble.py -u https://target.com -v

# Afficher uniquement les en-têtes manquants (ignorer la sortie informative/fingerprinting)
python3 humble.py -u https://target.com -b

# Comparer par rapport à une directive spécifique (par ex. OWASP)
python3 humble.py -u https://target.com -g owasp

# Sauvegarder les résultats dans un fichier
python3 humble.py -u https://target.com -o report -of html

Notes

• Fonctionne bien comme vérification préalable rapide avant de lancer un scanner complet comme Nikto ou un scan actif Burp.
• Combiner avec -r pour aussi récupérer et signaler les en-têtes obsolètes/non sûrs depuis un fichier de requête brute.
• Pas d’authentification ni de crawling : c’est un analyseur d’une seule requête/réponse, pas un spider.

usage: humble.py [-h] (-u URL | -r FILE) [-b] [-c] [-g {owasp,mozilla}]
                  [-o OUTPUT] [-of {html,json,csv}] [-v] [--version]

optional arguments:
  -h, --help            show this help message and exit
  -u URL                URL to analyze (e.g. https://target.com)
  -r FILE               Analyze headers from a raw HTTP request/response file
  -b                    Brief mode — only missing headers
  -c                    Show additional compatibility info
  -g {owasp,mozilla}    Compare against a specific guideline
  -o OUTPUT             Output file basename
  -of {html,json,csv}   Output format
  -v                    Verbose output
  --version             Show version