Inspeccionar una petición HTTP: curl, mensaje en bruto y HAR

Estas tres herramientas sirven para leer, traducir y compartir un intercambio HTTP. No lo ejecutan.

Cada herramienta termina donde empieza otra. Pasa el relevo a las herramientas vecinas o a tu propio código.

Pega el Copy as cURL en el formateador de cURL y léelo línea por línea: contiene todo lo que añadió el navegador, no solo lo que necesita tu código.

Pega la respuesta en el analizador de mensajes HTTP. La línea de estado, la tabla de cabeceras y el cuerpo aparecen por separado.

Abre el export en el inspector de HAR y reduce la lista antes de leer ningún detalle.

Un Copy as cURL de una sesión autenticada lleva tus cabeceras Cookie y Authorization, y cualquiera que lea el ticket puede repetir la llamada como si fueras tú. El interruptor Quitar secretos omite de la copia Cookie, Authorization, Referer, sec-ch-* y los valores de -u y -b. Viene desactivado por defecto en el formateador y en el Copiar como cURL del analizador, y activado en el inspector de HAR. Solo actúa sobre cabeceras: un token en la cadena de consulta (?access_token=), en el cuerpo de la petición, en una cabecera propia como X-Api-Key o en el cuerpo de una respuesta se queda exactamente donde estaba. Lee la salida antes de pegarla y renueva todo lo que ya haya salido de tu equipo. El escáner de secretos ayuda a detectar una clave que no habías visto.

El Tiempo del inspector de HAR es la duración de la entrada más larga, no el tiempo de carga de la página, y Tamaño suma los tamaños de cuerpo registrados en cada entrada. Responden a «qué llamada fue la más lenta» y «cuántos datos circularon», no a lo que mide Lighthouse. Las peticiones se ejecutan en paralelo, así que la suma de los tiempos tampoco es el tiempo de la página. Las respuestas en caché y los cuerpos comprimidos hacen que los tamaños difieran de los que muestra el pie del panel de red.

El formateador entiende el subconjunto de cURL que generan las DevTools e ignora el resto sin avisar. Opciones como -L, -s, -k, --insecure, -v y -o desaparecen de la salida: un comando que contaba con -L para seguir una redirección o con -k para saltarse la comprobación del certificado pierde ese comportamiento al traducirse. Algunas entradas se rechazan con un mensaje claro: subidas multipart (-F), subidas de archivo con -T, cuerpos @archivo, {{variables}} de REST Client, archivos .http con varias peticiones, fragmentos de axios y llamadas fetch con plantillas literales o variables sin resolver. Una respuesta pegada no es una petición, así que no hay nada que convertir a cURL.

Varias salidas reindentan un cuerpo JSON: el cURL multilínea, las salidas HTTP/1.1 y .http, el fetch de JavaScript, y Python requests, que lo convierte en un literal json=. El cURL de una línea conserva el cuerpo tal como lo pegaste. Para la mayoría de las API es inocuo, y fatal cuando el servidor comprueba una firma calculada sobre los bytes exactos, como suelen hacer los endpoints de webhooks: un solo espacio añadido y el HMAC deja de coincidir. La guía de hash y HMAC explica cómo se construyen esas firmas.

Un mensaje HTTP/1.1 es texto plano (RFC 9112) y su significado lo define la RFC 9110. Petición y respuesta comparten la misma disposición.

Las herramientas convierten de una a otra, por eso una petición copiada puede acabar siendo cualquiera de ellas.

Un orden de lectura corto ahorra la mayoría de las sesiones de depuración largas.

El formateador de cURL reformatea mientras pegas, sin botón Enviar. En Chrome, haz clic derecho sobre la petición en la pestaña Red, luego Copy y Copy as cURL (bash).

El analizador de mensajes HTTP presenta un mensaje pegado como línea inicial, tabla de cabeceras y cuerpo.

El inspector de HAR lee el archivo en tu pestaña y nunca consulta las URL que lista.

Algunos límites que conviene conocer antes de fiarse de ellas.

Cuando puedes ejecutar un comando, curl muestra los mismos datos que presenta el analizador. Guarda los tokens en variables de entorno, no en el comando que pegas en un ticket.

Un HAR es JSON, así que unas pocas líneas listan las llamadas fallidas. A diferencia del contador Errores del inspector, este filtro conserva también el estado 0.

Toma la salida de Copy as fetch, mueve el secreto a una variable de entorno y muestra lo que vuelve. Los fragmentos que genera el formateador son un punto de partida del mismo tipo.

Nada que instalar y nada enviado: el formateador de cURL, el analizador de mensajes HTTP y el inspector de HAR cubren leer, traducir y compartir una petición. Las contrapartidas: sin repetición, un subconjunto de cURL, sin cascada de tiempos y una limpieza que solo conoce las cabeceras. Para una prueba real, lanza la llamada desde un terminal, Postman o tu propia suite de pruebas; para comprobar una especificación en vez de una llamada, usa el validador OpenAPI.