Заголовки HTTP

Запрашивайте учётные данные через WWW-Authenticate. Настройка схем Basic, Bearer, Digest и других в ответах 401.

Передавайте учётные данные через заголовок Authorization. Схемы Basic, Bearer и Digest, синтаксис и рекомендации по безопасности.

Разбираем, как Proxy-Authenticate в ответе 407 требует учётные данные для прокси. Схемы аутентификации, синтаксис и примеры цепочек прокси.

Используйте заголовок Proxy-Authorization, чтобы передать прокси учётные данные после запроса 407. Схемы аутентификации, синтаксис и поведение в цепочке.

Оценивайте свежесть кэша с помощью заголовка Age: как CDN и прокси сообщают время, прошедшее с ответа источника.

Управляйте кэшированием в браузере и CDN через директивы Cache-Control. Синтаксис, примеры из практики и лучшие практики.

Разбираем заголовок Expires и свежесть кэша по временной метке. Как Expires взаимодействует с Cache-Control и когда применять каждый подход.

Очищайте кэш, cookie и хранилище браузера через Clear-Site-Data. Сценарии выхода, директивы и схемы внедрения.

Разбираем заголовок Last-Modified и проверку кэша по дате. Как сервер сообщает время изменения в сценариях условных запросов.

Узнайте, как идентификаторы ETag обеспечивают перепроверку кэша и контроль параллелизма. Сильные и слабые ETag, синтаксис и схемы условных запросов.

Разбираем заголовок If-Match и условные запросы на основе ETag. Предотвращение потери обновлений за счёт оптимистичной блокировки в PUT и DELETE.

Узнайте, как If-None-Match проверяет кэшированные ресурсы по ETag. Реализация перепроверки кэша и защита от перезаписи условными запросами.

Узнайте, как If-Modified-Since обеспечивает перепроверку кэша по дате для GET и HEAD. Экономия трафика за счёт условных ответов и статуса 304.

Разбираем If-Unmodified-Since и то, как предусловия по дате предотвращают потерю обновлений. Защита операций PUT и DELETE от конкурентных изменений.

Управляйте вариантами кэша через заголовок Vary. Сообщите кэшам, какие заголовки запроса влияют на ответ, чтобы они хранили и отдавали правильные представления.

Согласуйте медиатипы ответа через заголовок Accept. Весовые коэффициенты, подстановочные знаки, ход согласования и примеры.

Согласуйте сжатие через Accept-Encoding. Поддерживаемые алгоритмы, весовые коэффициенты, синтаксис и реализация на сервере.

Согласуйте язык содержимого через Accept-Language. Теги BCP 47, весовые коэффициенты, обработка на сервере и примеры.

Разбираем, почему Accept-Charset устарел и как UTF-8 вытеснил согласование кодировок. История, синтаксис и рекомендации по переходу.

Объявляйте медиатипы через Content-Type. MIME-типы, параметр charset, согласование содержимого и риски MIME-сниффинга.

Объявляйте размер тела сообщения через Content-Length. Подсчёт байтов, переиспользование соединений, индикаторы прогресса и подводные камни.

Указывайте сжатие ответа через Content-Encoding. Алгоритмы gzip, br, zstd, настройка сервера и декодирование.

Объявляйте язык целевой аудитории через Content-Language. Языковые теги, согласование содержимого и многоязычная настройка.

Указывайте на согласованное представление через Content-Location. Отличие от Location, влияние на кэширование и примеры.

Запускайте скачивание файла или встроенный показ через Content-Disposition. attachment, кодирование имени файла и применение в данных форм.

Отдавайте частичное содержимое через Content-Range. Синтаксис байтовых диапазонов, докачка, потоковое медиа и схема ответа 206.

Отправляйте сохранённые cookie на сервер через заголовок Cookie. Пары имя-значение, управление сессией и правила безопасности.

Управляйте HTTP-cookie через Set-Cookie. Настройка атрибутов безопасности, области действия, срока жизни, политики SameSite и межсайтового поведения.

Управляйте кросс-доменным доступом через Access-Control-Allow-Origin. Подстановочные знаки, динамические источники, ошибки CORS и их устранение.

Разрешайте HTTP-методы при предварительном запросе CORS через Access-Control-Allow-Methods. Синтаксис, правила подстановки и настройка сервера.

Разрешайте пользовательские заголовки в CORS-запросах через Access-Control-Allow-Headers. Настройка предварительного запроса, подстановочные знаки и примеры.

Передавайте cookie и учётные данные в CORS-запросах через Access-Control-Allow-Credentials. Настройка, подводные камни и решения.

Разбираем, как заголовок запроса Origin указывает источник запроса для CORS. Синтаксис, поведение браузера и проверка на сервере.

Включите докачку через Accept-Ranges. Частичные запросы, побайтовая отдача, потоковая передача и настройка сервера.

Запрашивайте частичное содержимое через заголовок Range. Синтаксис байтовых диапазонов, многочастные ответы, возобновление загрузок и примеры потоковой передачи.

Узнайте, как If-Range делает диапазонные запросы условными для безопасного возобновления загрузки. Получайте часть или весь ресурс без ошибок 412.

Разбираем, как заголовок Location управляет перенаправлениями HTTP и указывает на созданные ресурсы. Синтаксис, типы перенаправлений и примеры.

С помощью заголовка Retry-After сообщайте клиентам, когда повторить запрос после 429 или 503. Формат в секундах, формат HTTP-date и советы по работе с ботами.

Разбираем обязательный заголовок Host в запросах HTTP/1.1. Как работает виртуальный хостинг, правила синтаксиса и как сервер определяет целевой домен.

Определяйте клиентское ПО по User-Agent. Разбор product-токенов, понимание UA reduction и стратегии обнаружения ботов.

Разбираем, как заголовок Referer указывает ссылающуюся страницу. Аналитика, контроль доступа, риски приватности и связь с Referrer-Policy.

Внедрите Referrer-Policy, чтобы управлять передаваемой браузером реферер-информацией. Варианты директив, влияние на приватность и примеры развёртывания.

Сообщайте поддерживаемые методы через заголовок Allow. Обязателен в ответах 405, обработка OPTIONS и синтаксис.

Разбираем HTTP-заголовок Date и то, как исходный сервер проставляет время ответа. Его роль в расчёте свежести кэша и поведении прокси.

Указывайте серверное ПО через заголовок Server. Синтаксис product-токенов, риски раскрытия версии и рекомендации.

Принудительно используйте HTTPS через Strict-Transport-Security. Настройка HSTS: max-age, includeSubDomains, preload и защита от downgrade-атак.

Защищайтесь от XSS и инъекций с помощью Content-Security-Policy. Директивы, списки источников, nonce и развёртывание.

Предотвращайте атаки MIME-сниффинга через X-Content-Type-Options: nosniff. Заставьте браузеры учитывать объявленный Content-Type в каждом ответе.

Защищайтесь от кликджекинга через X-Frame-Options. Управление встраиванием во фреймы с DENY и SAMEORIGIN, а также альтернатива CSP frame-ancestors.

Внедрите Permissions-Policy, чтобы управлять доступом сайта и встроенных iframe к возможностям браузера. Директивы, списки разрешений и примеры.

Кодируйте тело сообщения для безопасной передачи через Transfer-Encoding. Chunked-кодирование, hop-by-hop семантика и потоковые ответы.

Объявляйте предпочтения по transfer-кодированию через заголовок TE. Согласование chunked-трейлеров и сжатия между клиентом и сервером.

Управляйте жизненным циклом TCP-соединения через заголовок Connection. keep-alive, close, hop-by-hop поведение и изменения в HTTP/2.

Меняйте протокол на существующем соединении через заголовок Upgrade. Согласование перехода на WebSocket, HTTP/2 и TLS поверх HTTP/1.1.