EMZETT.
Login

Emzett Wiki

HTTP-Header: Wichtige Felder in Anfrage und Antwort

Properties1
tagsglossar, http, web

2 Min. Lesezeit

HTTP-Header: Wichtige Felder in Anfrage und Antwort

Kurz: HTTP-Header sind Zusatzinformationen vor dem eigentlichen Inhalt einer Anfrage oder Antwort, etwa Inhaltstyp, Zwischenspeicher-Regeln, Cookies und Sicherheitsrichtlinien.

Genauer: Jede HTTP-Nachricht besteht aus Startzeile, Headern und optionalem Body. Die Header steuern, wie Browser, Server und Zwischenstationen mit dem Inhalt umgehen. Im Browser siehst du sie unter F12 → Netzwerk, im Terminal mit curl -I https://beispiel.de.

Im Detail

Anfrage-Header (Request)

  • Host: gewünschter Servername (Pflicht in HTTP/1.1).
  • User-Agent: Browser/Programm.
  • Accept, Accept-Language, Accept-Encoding: gewünschte Formate, Sprachen, Kompression (gzip, br).
  • Authorization: Zugangsdaten (Bearer <Token>).
  • Cookie: gespeicherte Cookies.
  • Content-Type/Content-Length: Typ und Größe des gesendeten Inhalts.
  • Origin, Referer: Herkunft der Anfrage.
  • If-None-Match, If-Modified-Since: bedingte Anfragen für Caching.

Antwort-Header (Response)

  • Content-Type: text/html; charset=utf-8, application/json …
  • Cache-Control: max-age=3600, no-store, public, private.
  • ETag, Last-Modified: Version der Ressource.
  • Set-Cookie: Cookie setzen (mit HttpOnly, Secure, SameSite).
  • Location: Ziel bei Weiterleitung (301/302/307/308).
  • Content-Encoding: gzip oder br.
  • Retry-After, WWW-Authenticate, Allow.

Sicherheits-Header

  • Strict-Transport-Security (HSTS): immer HTTPS.
  • Content-Security-Policy (CSP): erlaubte Quellen für Skripte und Bilder, wirkt gegen XSS.
  • X-Content-Type-Options: nosniff.
  • X-Frame-Options / CSP frame-ancestors: gegen Clickjacking.
  • Referrer-Policy, Permissions-Policy.
  • Access-Control-Allow-Origin (CORS): welche Herkunft Anfragen stellen darf.

Praxis

Header sind nicht vertrauenswürdig, wenn sie vom Client kommen (zum Beispiel X-Forwarded-For kann gefälscht werden, sofern kein Proxy sie überschreibt). Setze Sicherheits-Header zentral (Reverse-Proxy oder Framework), vermeide überflüssige Informationen (Server, X-Powered-By) und teste mit Werkzeugen wie securityheaders.com oder Mozilla Observatory.

Siehe auch: Security-Header, HTTP-Statuscodes, CORS, Cookies, Caching-Strategien

Backlinks