Какие знаешь Headers HTTP?

HTTP Headers: классификация и ключевые примеры

HTTP headers (заголовки) — это неотъемлемая часть протокола, играющая роль метаданных для HTTP-запроса или ответа. Они позволяют клиенту и серверу передавать дополнительную контекстную информацию, которая управляет обработкой данных, кэшированием, аутентификацией, согласованием форматов и многим другим. Как QA Engineer, глубокое понимание заголовков критически важно для эффективного тестирования API, веб-приложений, анализа логов и диагностики проблем. Их можно разделить на четыре основные категории.

1. General Headers (Общие заголовки)

Применяются как к запросам, так и к ответам, но не относятся непосредственно к пересылаемому телу.

• Cache-Control: Главный механизм управления кэшированием. Указывает директивы для кэшей (max-age, no-cache, no-store).
• Connection: Управляет состоянием соединения (например, keep-alive для постоянного соединения или close для его закрытия после ответа).
• Date: Дата и время создания сообщения в формате HTTP.
• Transfer-Encoding: Указывает форму кодирования, применённую к телу сообщения для безопасной передачи (например, chunked).
• Via: Добавляется прокси-серверами для отслеживания пути сообщения.

2. Request Headers (Заголовки запроса)

Содержат информацию о запрашиваемом ресурсе и о самом клиенте. Могут изменяться пользовательскими настройками (например, в браузере).

• Host (Обязательный в HTTP/1.1): Указывает доменное имя и порт целевого сервера. Критически важен для виртуального хостинга.
• User-Agent: Содержит строку, идентифицирующую клиентское приложение, ОС, производителя и версию. Часто используется для аналитики и адаптивного рендеринга.
• Accept: Информирует сервер о типах медиа (MIME-типах), которые клиент может обработать (например, application/json, text/html). Лежит в основе Content Negotiation.
• Accept-Language и Accept-Encoding: Указывают предпочтительный язык ответа и методы сжатия (gzip, deflate).
• Authorization: Содержит учётные данные (токен, логин/пароль) для аутентификации на сервере (часто Bearer <token> для OAuth 2.0).
• Cookie: Передаёт сохранённые на стороне клиента данные (cookie), ранее отправленные сервером с заголовком Set-Cookie.
• Referer (орфографическая ошибка в спецификации): Адрес предыдущей веб-страницы, с которой пришёл пользователь. Важен для анализа трафика.
• Content-Type (для запросов с телом, например, POST, PUT): Указывает MIME-тип данных в теле запроса (например, application/x-www-form-urlencoded, multipart/form-data).

3. Response Headers (Заголовки ответа)

Содержат дополнительную информацию о сервере и о подготовленном для клиента ответе.

• Server: Информация о программном обеспечении сервера, который обработал запрос.
• Set-Cookie: Отправляет данные (cookie) с сервера на клиент для сохранения и последующей отправки обратно.
• Location: Используется при редиректах (коды 3xx) или создании ресурса (код 201) для указания нового URI.
• WWW-Authenticate: Указывает метод аутентификации, который следует использовать для доступа к запрашиваемому ресурсу (при ответе 401 Unauthorized).
• Allow: Перечисляет HTTP-методы, поддерживаемые для данного ресурса (при ошибке 405 Method Not Allowed).

4. Entity Headers (Заголовки сущности)

Описывают содержимое (body) пересылаемого сообщения.

• Content-Type: Главный заголовок, определяющий MIME-тип данных в теле (например, text/html; charset=UTF-8, application/json). Прямо влияет на то, как клиент будет обрабатывать ответ.
• Content-Length: Размер тела сообщения в октетах (байтах).
• Content-Encoding: Указывает, какие алгоритмы кодирования были применены к телу (например, gzip).
• Content-Disposition: Сообщает, следует ли отображать содержимое в браузере (inline) или обрабатывать как файл для скачивания (attachment; filename="report.pdf").

Практическое значение для QA

Понимание заголовков является ключевым навыком для автоматизации и ручного тестирования API:

1. Настройка запросов в автотестах: При использовании библиотек вроде requests (Python) или RestAssured (Java) заголовки задаются явно.

   import requests
   
   headers = {
       'Authorization': 'Bearer my_secret_token_123',
       'Accept': 'application/json',
       'Content-Type': 'application/json'
   }
   response = requests.post('https://api.example.com/data', json={'key': 'value'}, headers=headers)
   

2. Валидация ответов: В тестах необходимо проверять не только статус-код и тело, но и критически важные заголовки.

   // RestAssured пример
   given()
       .when()
           .get("/user/1")
       .then()
           .statusCode(200)
           .header("Content-Type", containsString("application/json"))
           .header("Cache-Control", "no-cache");
   

3. Диагностика проблем: Анализ заголовков в логах или инструментах разработчика (DevTools) помогает быстро находить причины ошибок:

    *   `400 Bad Request` — проверить корректность `Content-Type` в запросе.
    *   `404 Not Found` — убедиться в правильности `Host` и пути.
    *   `415 Unsupported Media Type` — сервер не понимает тип контента, указанный в `Content-Type` запроса.
    *   Проблемы с кэшированием — анализировать директивы `Cache-Control`.

Знание стандартных и нестандартных (кастомных, часто начинающихся с X-) заголовков позволяет QA-инженеру грамотно проектировать тестовые сценарии, точно симулировать поведение разных клиентов и проводить глубокий анализ безопасности (например, проверять наличие заголовков X-Frame-Options или Content-Security-Policy).