HTTP-заголовки справочник
Полное руководство по HTTP-заголовкам — узнайте, что делает каждый заголовок, как его настроить и почему он важен для безопасности и производительности.
Безопасность
Content-Security-PolicyКонтролирует, какие ресурсы браузер может загружать для страницы, помогая предотвратить XSS и инъекции данных.
Cross-Origin-Opener-PolicyИзолирует контекст браузера для предотвращения кросс-доменных атак типа Spectre.
Cross-Origin-Resource-PolicyОграничивает, какие домены могут загружать ресурс, предотвращая несанкционированное чтение.
Permissions-PolicyУправляет доступом к функциям браузера: камера, микрофон, геолокация и другие.
Referrer-PolicyКонтролирует объём информации о реферере в запросах, балансируя между приватностью и аналитикой.
Strict-Transport-SecurityУказывает браузерам обращаться к сайту только по HTTPS, защищая от атак понижения протокола и перехвата cookie.
X-Content-Type-OptionsЗапрещает браузерам угадывать MIME-тип содержимого, снижая риск XSS-атак.
X-Frame-OptionsУправляет возможностью отображения страницы во фрейме или iframe, защищая от clickjacking-атак.
X-XSS-ProtectionУстаревший заголовок, включавший XSS-фильтр браузера. Заменён на Content-Security-Policy.
Ответ
ConnectionКонтролирует, остаётся ли соединение открытым после завершения транзакции.
Content-DispositionУказывает, должен ли ответ отображаться встроенно или загружаться как файл.
Content-EncodingУказывает алгоритм сжатия тела ответа, например gzip или brotli.
Content-LengthУказывает размер тела ответа в байтах.
Content-TypeУказывает медиа-тип тела ответа, сообщая браузеру, как интерпретировать содержимое.
DateУказывает дату и время генерации ответа сервером.
ETagУникальный идентификатор версии ресурса для эффективных условных запросов.
Last-ModifiedДата и время последнего изменения ресурса для валидации кеша.
LocationУказывает URL для перенаправления клиента, используется с кодами 3xx.
Retry-AfterСообщает клиенту, как долго ждать перед повторным запросом после ограничения скорости или редиректа.
ServerОпределяет ПО веб-сервера. Рекомендуется скрывать из соображений безопасности.
Set-CookieОтправляет cookie от сервера к браузеру для управления сессиями и персонализации.
Transfer-EncodingУказывает кодировку передачи тела ответа, обычно chunked.
WWW-AuthenticateОпределяет метод аутентификации, требуемый сервером для доступа к защищённому ресурсу.
Кеширование
AgeПоказывает, сколько секунд ответ хранится в кеше с момента генерации.
Cache-ControlОсновной заголовок управления кешированием, определяющий как и на какой срок ответы кешируются.
ExpiresЗадаёт дату, после которой ответ считается устаревшим. Вытеснен Cache-Control max-age.
PragmaУстаревший заголовок HTTP/1.0 для управления кешированием. Заменён на Cache-Control.
VaryУказывает кешам, какие заголовки запроса учитывать при выборе кешированного ответа.
CORS
Access-Control-Allow-CredentialsУказывает, может ли ответ на кросс-origin запрос с учётными данными быть доступен JavaScript.
Access-Control-Allow-HeadersУказывает разрешённые HTTP-заголовки в кросс-доменном запросе после preflight.
Access-Control-Allow-MethodsУказывает разрешённые HTTP-методы при кросс-доменном доступе в ответе preflight.
Access-Control-Allow-OriginОпределяет, какие домены могут читать ответ — основной заголовок CORS.
Access-Control-Max-AgeУказывает, как долго результаты CORS preflight-запроса могут кешироваться.
Запрос
AcceptУказывает типы медиаконтента, которые клиент может обработать в ответе.
Accept-EncodingУказывает, какие кодировки содержимого клиент может понять.
Accept-LanguageУказывает предпочтительные естественные языки для ответа.
AuthorizationПередаёт учётные данные для аутентификации клиента на сервере.
CookieОтправляет ранее сохранённые куки обратно на сервер с каждым запросом.
HostУказывает доменное имя и порт сервера, к которому направлен запрос.
If-Modified-SinceДелает запрос условным; сервер отвечает 304, если содержимое не изменилось с указанной даты.
If-None-MatchДелает запрос условным на основе значения ETag; обеспечивает эффективную валидацию кеша.
OriginУказывает источник (схема, хост, порт), из которого выполняется кросс-origin запрос.
RangeЗапрашивает только определённую часть ресурса, обеспечивая частичную загрузку.
RefererСодержит URL страницы, которая привела к текущему запрошенному ресурсу.
User-AgentИдентифицирует клиентское приложение, ОС и движок, выполняющий запрос.
Проверьте HTTP-заголовки вашего сайта прямо сейчас
Проверить заголовки →