Service de vérification des en-têtes du serveur HTTP

Pour tout site Web, il est important de configurer correctement les en-têtes HTTP. De nombreux articles ont été écrits sur le thème des gros titres. Nous avons résumé ici l’expérience accumulée et la documentation RFC. Certains titres sont obligatoires, d'autres sont obsolètes et certains peuvent prêter à confusion et à des contradictions. Nous avons fabriqué un sac ventral pour vérification automatique des en-têtes HTTP du serveur Web. Contrairement à de nombreux autres services qui affichent simplement les en-têtes, ce service vous permet de :

1. définir la valeur des en-têtes standard ;
2. ajoutez vos propres en-têtes personnalisés ;
3. spécifiez la version du protocole HTTP : 1.0, 1.1, 2 (vérifie si HTTP/2 est pris en charge) ;
4. spécifier la méthode de requête, le délai d'attente et les post-données à envoyer au serveur ;
5. Le pouf vérifie également l'exactitude de la réponse aux requêtes If-Modified-Since, If-None-Match, si la réponse du serveur contient Last-Modified ou ETag.

Nous ne prétendons pas être la vérité ultime. Pour les contenus individuels et les projets individuels, il peut bien entendu y avoir des écarts. Mais ce service vous dira exactement à quoi vous devez faire attention, et il pourra vous être utile pour modifier vos rubriques. Vous trouverez ci-dessous une liste de ce à quoi le service de vérification prête attention. Pourquoi, lis dans des articles sur Habré.

En-têtes obligatoires

• Date
• Content-Type indiquant le jeu de caractères pour le contenu textuel, de préférence utf-8
• Compression de codage de contenu pour le contenu texte

En-têtes obsolètes et inutiles

• Serveur avec version détaillée du serveur Web
• X-Power-By
• Version X_ASPNET
• Expire le
• Pragma
• P3P
• Via
• Compatible X-UA

En-têtes souhaitables pour la sécurité

• Options de type de contenu X
• Protection X-XSS
• Strict-Transport-Sécurité
• Politique de parrainage
• Politique de fonctionnalité
• Content-Security-Policy ou Content-Security-Policy-Report-Only pour désactiver les scripts et les styles en ligne.

En-têtes pour la mise en cache

Obligatoire pour le contenu statique avec une longue durée de vie du cache et hautement souhaitable pour le contenu dynamique avec une durée de vie du cache courte.

• Last-Modified
• Etag
• Cache-Control
• varier
• Il est important que le serveur réponde correctement aux en-têtes : If-Modified-Since et If-None-Match

HTTP / 2

Le serveur devrait désormais prendre en charge HTTP/2. Par défaut, le service vérifie le fonctionnement du serveur via HTTP/2. Si votre serveur ne prend pas en charge HTTP/2, sélectionnez HTTP/1.1.

Source: habr.com