HTTP-HeaderExplained

58 of 58 rows

Header↕	Zweck↕	Beispiel↕
Anfrage
⤢Host	Benennt den Server und Port, an die sich die Anfrage richtet.	developer.mozilla.org
⤢User-Agent	Identifiziert die Client-Software, die die Anfrage stellt.	Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
⤢Accept	Deklariert die Medientypen, die der Client verarbeiten kann.	text/html,application/xhtml+xml,application/json
⤢Authorization	Enthält Zugangsdaten, die den Client authentifizieren.	Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
⤢Cookie	Sendet gespeicherte Cookies an den Origin-Server zurück.	sessionid=38afes7a8; theme=dark
⤢Referer	Gibt die URL der Seite an, von der hierher verlinkt wurde.	https://example.com/docs/index.html
⤢Accept-Encoding	Listet die Komprimierungscodierungen, die der Client akzeptiert.	gzip, deflate, br
⤢Accept-Language	Rangiert die natürlichen Sprachen, die der Client bevorzugt.	en-US,en;q=0.9
⤢Origin	Benennt die Origin, von der die Anfrage ausging.	https://example.com
⤢Range	Verlangt nur einen Teil des Bodys, angegeben als Bytebereich.	bytes=0-1023
⤢X-Forwarded-For	Listet die Client- und Proxy-IPs entlang des Anfragepfads.	203.0.113.45, 70.41.3.18
⤢X-Forwarded-Proto	Teilt dem Origin mit, welches Protokoll der Client verwendete.	https
⤢Forwarded	Bündelt den Proxypfad in einem einzigen Standardfeld.	for=203.0.113.45;proto=https
⤢Connection	Steuert, ob die Verbindung nach diesem Austausch offen bleibt.	keep-alive
⤢Expect	Bestimmt, was der Server bestätigen muss, bevor der Client den Body sendet.	100-continue
⤢Max-Forwards	Begrenzt, wie viele Proxys eine TRACE-Anfrage weiterleiten dürfen.	3
Antwort
⤢Content-Type	Deklariert den Medientyp des Bodys in Anfragen und Antworten.	text/html; charset=utf-8
⤢Content-Length	Gibt die Größe des Bodys in Bytes an.	3489
⤢Cache-Control	Steuert, wie Caches die Anfrage oder Antwort speichern.	no-cache
⤢Set-Cookie	Weist den Browser an, ein Cookie zu speichern.	id=a3fWa; Expires=Wed, 21 Oct 2026 07:28:00 GMT; HttpOnly
⤢Location	Benennt die URL des Ziels einer Weiterleitung.	https://example.com/new-location
⤢ETag	Liefert eine Versionskennung für den Body, genutzt von bedingten Anfragen.	"33a64df551425fcc55e4d42da148ef95"
⤢Last-Modified	Gibt Datum und Uhrzeit der letzten Änderung des Bodys an.	Wed, 21 Oct 2025 07:28:00 GMT
⤢Vary	Listet die Anfrageheader, von denen eine gecachte Antwort abhängt.	Accept-Encoding
⤢Content-Encoding	Benennt die auf den Body angewandte Komprimierung.	gzip
⤢Transfer-Encoding	Benennt das Übertragungsformat, in dem der Body gesendet wird.	chunked
⤢Retry-After	Sagt dem Client, wie lange er bis zur nächsten Anfrage warten soll.	120
⤢Allow	Listet die Methoden, die die Ressource unterstützt.	GET, POST, HEAD
⤢Age	Berichtet, wie lange die Antwort bereits in einem Cache lag.	2463
⤢Server	Benennt die Serversoftware hinter der Antwort.	cloudflare
⤢Date	Gibt den Zeitpunkt an, zu dem die Antwort erzeugt wurde.	Wed, 21 Oct 2025 07:28:00 GMT
Bedingt
⤢If-None-Match	Verlangt einen frischen Body nur, wenn sich der ETag geändert hat.	"33a64df551425fcc55e4d42da148ef95"
⤢If-Modified-Since	Fordert den Body nur an, wenn er sich seit dem Datum geändert hat.	Wed, 21 Oct 2025 07:28:00 GMT
⤢If-Match	Lässt die Anfrage nur erfolgreich sein, wenn der ETag übereinstimmt.	"33a64df551425fcc55e4d42da148ef95"
⤢If-Unmodified-Since	Lässt die Anfrage nur erfolgreich sein, wenn der Body seit dem Datum unverändert ist.	Wed, 21 Oct 2025 07:28:00 GMT
⤢If-Range	Wendet den Bytebereich nur an, wenn ETag oder Datum noch übereinstimmen.	"33a64df551425fcc55e4d42da148ef95"
Sicherheit
⤢Strict-Transport-Security	Erzwingt HTTPS für künftige Anfragen an diesen Host.	max-age=31536000; includeSubDomains
⤢Content-Security-Policy	Legt die Quellen fest, die der Browser laden darf.	default-src 'self'; script-src 'self'
⤢X-Frame-Options	Hindert andere Seiten daran, diese Seite einzubetten; abgelöst durch die CSP-Direktive frame-ancestors, die Browser statt ihrer beachten, wenn beide gesetzt sind.	DENY
⤢X-Content-Type-Options	Hindert den Browser daran, einen anderen Inhaltstyp zu erraten.	nosniff
⤢Referrer-Policy	Beschränkt die Referrer-Daten, die mit ausgehenden Anfragen gesendet werden.	strict-origin-when-cross-origin
⤢Permissions-Policy	Erlaubt oder sperrt Browserfunktionen wie Kamera oder Standort.	camera=(), geolocation=(self)
⤢Cross-Origin-Opener-Policy	Isoliert die Seite gegenüber Browserfenstern anderer Origins.	same-origin
CORS
⤢Access-Control-Allow-Origin	Benennt, welche Origin die Antwort lesen darf.	https://example.com
⤢Access-Control-Allow-Methods	Listet die in CORS erlaubten HTTP-Methoden.	GET, POST, OPTIONS
⤢Access-Control-Allow-Headers	Listet die in CORS erlaubten Anfrageheader.	Content-Type, Authorization
⤢Access-Control-Allow-Credentials	Erlaubt Anfragen mit Zugangsdaten, die Antwort zu lesen.	true
⤢Access-Control-Expose-Headers	Listet Antwortheader, die die Seite per Skript lesen darf.	X-Request-Id, Content-Length
⤢Access-Control-Max-Age	Legt fest, wie lange der Browser das Preflight-Ergebnis cacht.	600
⤢Access-Control-Request-Method	Teilt dem Server mit, welche Methode die echte Anfrage verwenden wird.	DELETE
⤢Access-Control-Request-Headers	Teilt dem Server mit, welche Header die echte Anfrage senden wird.	Content-Type, Authorization
⤢Timing-Allow-Origin	Erlaubt der genannten Origin, detaillierte Resource-Timing-Daten zu lesen.	https://example.com
Inhalt
⤢Content-Disposition	Sagt dem Browser, ob er den Body anzeigen oder als Datei speichern soll.	attachment; filename="report.pdf"
⤢Content-Range	Berichtet, welchen Bytebereich ein teilweiser Body abdeckt.	bytes 0-1023/146515
⤢Accept-Ranges	Teilt dem Client mit, dass der Server Anfragen mit Bytebereichen akzeptiert.	bytes
⤢Link	Verweist auf zugehörige Ressourcen, etwa die nächste Seite.	</page/2>; rel="next"
⤢Alt-Svc	Verweist auf einen anderen Dienstendpunkt, etwa HTTP/3.	h3=":443"; ma=86400
⤢WWW-Authenticate	Benennt das Authentifizierungsschema, das der Server nach einem 401 verlangt.	Bearer realm="api"