Какие HTTP-заголовки могут быть в ответе?

HTTP-ответ состоит из стартовой строки (версия, код статуса, причина), набора заголовков и, опционально, тела. Заголовки — это пары «имя: значение», которые передают метаданные о теле ответа, кэшировании, безопасности, куках и поведении клиента. Они не являются частью полезной нагрузки, но критично влияют на то, как браузер, прокси и CDN обработают ответ.

Основные категории заголовков ответа

• Представление тела: Content-Type, Content-Length, Content-Encoding, Content-Language, Content-Disposition.
• Кэширование: Cache-Control, Expires, ETag, Last-Modified, Vary, Age.
• Управление соединением: Connection, Keep-Alive, Transfer-Encoding, Upgrade.
• Безопасность: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy.
• Куки и сессии: Set-Cookie.
• Перенаправления и контекст: Location, Retry-After, Allow, Server, Date.
• CORS: Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers, Access-Control-Allow-Credentials, Access-Control-Max-Age.

Пример ответа с заголовками

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Content-Length: 27
Cache-Control: public, max-age=3600
ETag: "abc123"
Set-Cookie: sessionId=xyz; HttpOnly; Secure; SameSite=Lax
Strict-Transport-Security: max-age=31536000; includeSubDomains

{"message":"Hello, world!"}

Как это применяется

На практике заголовки ответа настраивают на уровне сервера (Nginx, Express, Django, Spring) или приложения. Например, Content-Type определяет, как браузер интерпретирует тело: как HTML, JSON, изображение или файл для скачивания. Cache-Control и ETag позволяют избежать повторной передачи неизменённых данных. Set-Cookie управляет сессиями, а заголовки безопасности защищают от XSS, clickjacking и downgrade-атак. CORS-заголовки разрешают или запрещают кросс-доменные запросы из браузера.

Практические нюансы

• Заголовки регистронезависимы, но по соглашению пишутся в Pascal-Case.
• Некоторые заголовки (например, Content-Length и Transfer-Encoding) взаимоисключающи.
• Заголовки безопасности часто добавляют на уровне reverse-proxy, чтобы не дублировать логику в приложении.
• При отладке удобно смотреть заголовки в DevTools (вкладка Network) или через curl -I.

Итог: знание заголовков ответа необходимо для корректной настройки кэширования, безопасности, CORS и работы с куками; их правильное использование напрямую влияет на производительность и защищённость веб-приложения.