En-têtes HTTP inutiles

Les en-têtes HTTP sont importants pour contrôler la façon dont le cache et les navigateurs traitent votre contenu. Mais beaucoup d'entre eux sont utilisés de manière incorrecte ou sans signification, dépensant des ressources supplémentaires à un moment critique du chargement de la page, et ils peuvent ne pas fonctionner comme vous le pensez. Dans une série d'articles sur les meilleures pratiques, nous allons d'abord examiner les titres inutiles.

La plupart des développeurs connaissent les en-têtes HTTP importants et utiles. Les plus connus sont Content-Type et Content-Length , ce sont des en-têtes presque universels. Mais récemment, des en-têtes tels que Content-Security-Policy et Strict-Transport-Security ont été utilisés pour augmenter la Strict-Transport-Security et Link rel=preload pour améliorer les performances. Malgré la large prise en charge des navigateurs, seuls quelques-uns les utilisent.

Dans le même temps, il existe de nombreux titres extrêmement populaires qui ne sont généralement pas nouveaux et peu utiles. Nous pouvons le prouver avec l'aide de HTTP Archive , un projet géré par Google et parrainé par Fastly, qui télécharge 500 000 sites chaque mois à l'aide de WebPageTest et télécharge les résultats sur BigQuery .

Voici les 30 en-têtes de réponse les plus populaires selon HTTP Archive (en fonction du nombre de domaines dans l'archive que chaque en-tête affiche), et une estimation approximative de l'utilité de chacun d'eux:

Titre	Demandes	Domaines	Statut
date	48779277	535621	Protocole requis
type de contenu	47185627	533636	Généralement requis par le navigateur
serveur	43057807	519663	En option
longueur du contenu	42388435	519118	Utile
dernière modification	34424562	480294	Utile
cache-control	36490878	412943	Utile
etag	23620444	412370	Utile
encodage de contenu	16194121	409159	Requis pour le contenu compressé
expire	29869228	360311	En option
alimenté par x	4883204	211409	En option
pragma	7641647	188784	En option
x-frame-options	3670032	105846	En option
access-control-allow-origin	11335681	103596	Utile
x-content-type-options	11071560	94590	Utile
lien	1212329	87475	Utile
l'âge	7401415	59242	Utile
x-cache	5275343	56889	En option
protection x-xss	9773906	51810	Utile
strict-transport-security	4259121	51283	Utile
via	4020117	47102	En option
p3p	8282840	44308	En option
attendre-ct	2685280	40465	Utile
contenu-langue	334081	37927	Controverse
x-aspnet-version	676128	33473	En option
accès-contrôle-autoriser-informations d'identification	2804382	30346	Utile
x-robots-tag	179177	24911	Peu importe pour les navigateurs
compatible x-ua	489056	24811	En option
access-control-allow-methods	1626129	20791	Utile
en-têtes-de-contrôle-d'accès	1205735	19120	Utile

Examinons les en-têtes facultatifs, pourquoi nous n'en avons pas besoin et que faire à ce sujet.

Vanity (serveur, alimenté par x, via)

Vous pouvez être très fier de votre choix de logiciel serveur, mais la plupart des gens s'en foutent. Dans le pire des cas, ces en-têtes peuvent divulguer des données sensibles, ce qui facilite l'attaque de votre site.

Server: apache
X-Powered-By: PHP/5.1.1
Via: 1.1 varnish, 1.1 squid

La RFC7231 vous permet d'inclure l'en-tête du serveur dans la réponse du serveur, indiquant le logiciel spécifique sur le serveur qui est utilisé pour fournir le contenu. Le plus souvent, il s'agit d'une chaîne comme "apache" ou "nginx". Bien que le titre soit autorisé, il est facultatif et n'est pas particulièrement utile aux développeurs ou aux utilisateurs finaux. Cependant, il s'agit aujourd'hui du troisième en-tête de serveur HTTP le plus populaire sur Internet.

X-Powered-By est le titre le plus populaire qui n'est défini par aucune norme et a un objectif similaire: il indique généralement la plate-forme d'application sur laquelle le serveur s'exécute. Les réponses les plus populaires incluent "ASP.net", "PHP" et "Express". Encore une fois, cela n'apporte aucun avantage tangible et se produit simplement.

Peut-être plus controversé peut être considéré comme Via . Il est nécessaire ( selon la RFC7230 ) d'ajouter à la demande chaque proxy via lequel la demande passe - pour identifier le proxy. Il peut s'agir du nom d'hôte proxy, mais le plus souvent d'un identifiant générique comme "vegur", "vernis" ou "squid". Supprimer (ou ne pas ajouter) un tel en-tête peut entraîner un cycle de transfert de proxy . Mais il est intéressant qu'il soit également ajouté en réponse au chemin de retour vers le navigateur - et ici, il remplit simplement une fonction d'information: aucun navigateur n'en fait quoi que ce soit, il est donc suffisamment sûr pour s'en débarrasser si vous le souhaitez.

Normes obsolètes (P3P, Expire, Options X-Frame, Compatible X-UA)

Une autre catégorie d'en-têtes est celle qui provoque réellement un effet dans le navigateur, mais (déjà) n'est pas la meilleure façon d'obtenir cet effet.

P3P: cp="this is not a p3p policy"
Expires: Thu, 01 Dec 1994 16:00:00 GMT
X-Frame-Options: SAMEORIGIN
X-UA-Compatible: IE=edge

P3P est une petite chose amusante. Je n'avais aucune idée de ce que c'était. Encore plus drôle, l'un des contenus les plus courants de l'en-tête P3P est «Ce n'est pas une règle P3P». Eh bien, c'est ça ou pas?

Ici, l'histoire remonte à une tentative de normalisation des règles de confidentialité lisibles par machine . Il y avait un désaccord sur la façon d'afficher les données dans les navigateurs, et un seul navigateur a implémenté la prise en charge de cet en-tête - Internet Explorer. Mais même en elle, P3P n'a eu aucun effet visuel pour l'utilisateur; il devait juste être présent pour permettre l'accès aux cookies tiers dans des frames. Certains sites définissent même des règles de non-conformité P3P, comme dans l'exemple ci-dessus, bien que cela soit très discutable .

Inutile de dire que la lecture des cookies tiers est généralement une mauvaise idée, donc si vous ne le faites pas, vous n'avez pas besoin de définir l'en-tête P3P !

Expires tout simplement incroyablement populaire étant donné que Cache-Control est supérieur à Expires depuis plus de 20 ans. Si l'en Cache-Control tête Cache-Control contient la directive max-age , alors tout en-tête Expires dans la même réponse est ignoré. Mais un grand nombre de sites définissent ces deux en-têtes, et Expires définit le plus souvent la date Thu, 01 Dec 1994 16: 00: 00 GMT , afin que le contenu ne soit pas mis en cache. Bien sûr, il est plus facile de copier la date à partir des spécifications .



Mais il n'est tout simplement pas nécessaire de le faire. Si vous avez un en-tête Expires avec une date du passé, remplacez-le simplement par:

Cache-Control: no-store, private

( no-store est une directive trop stricte pour ne pas écrire de contenu dans un stockage persistant, vous pouvez donc préférer no-cache pour de meilleures performances, par exemple, pour naviguer en arrière / en avant ou reprendre les onglets en veille dans un navigateur)

Certains outils de validation de site vous conseilleront d'ajouter un en X-Frame-Options tête X-Frame-Options avec une valeur de 'SAMEORIGIN'. Il indique aux navigateurs que vous refusez d'envoyer du contenu à un cadre sur un autre site: en règle générale, c'est une bonne défense contre le détournement de clics . Mais le même effet peut être obtenu avec un autre en-tête avec un support plus cohérent et un comportement plus fiable:

Content-Security-Policy: frame-ancestors 'self'

Il y a un avantage supplémentaire ici, car vous devez toujours donner l'en-tête CSP pour d'autres raisons (plus à leur sujet plus tard). Probablement, à notre époque, vous pouvez vous passer X-Frame-Options .

Enfin, dans IE9, Microsoft a introduit un "mode de compatibilité" qui rendait la page à l'aide du moteur IE8 ou IE7. Même en mode normal, le navigateur pensait qu'une ancienne version du moteur pourrait être nécessaire pour un rendu correct. Ces heuristiques ne fonctionnaient pas toujours correctement et les développeurs pouvaient les remplacer en utilisant l'en X-UA-Compatible tête ou la balise Meta X-UA-Compatible . En fait, cela est devenu une partie standard de nombreux frameworks comme Bootstrap. Or cette rubrique est pratiquement inutile: la proportion de navigateurs qui la comprennent est très faible. Et si vous soutenez activement le site, il est très peu probable qu'il utilise des technologies qui lanceront le mode de compatibilité.

Débogage des données (version X-ASPNet, X-Cache)

À certains égards, il est surprenant que certaines des rubriques les plus populaires ne soient mentionnées dans aucune norme. Essentiellement, cela signifie que des milliers de sites Web ont en quelque sorte accepté d'utiliser une certaine rubrique d'une certaine manière.

X-Cache: HIT
X-Request-ID: 45a336c7-1bd5-4a06-9647-c5aab6d5facf
X-ASPNet-Version: 3.2.32
X-AMZN-RequestID: 0d6e39e2-4ecb-11e8-9c2d-fa7ae01bbebc

En fait, ces rubriques "inconnues" n'ont pas été inventées par les développeurs. En règle générale, ce sont des artefacts de l'utilisation de certaines infrastructures de serveur, logiciels ou services de fournisseurs spécifiques (par exemple, le dernier en-tête est typique d'AWS).

L'en X-Cache tête X-Cache ajoute rapidement (et d'autres CDN), ainsi que d'autres en-têtes spécifiques tels que X-Cache-Hits et X-Served-By . Lorsque le débogage est activé, d'autres éléments sont ajoutés, par exemple Fastly-Debug-Path et Fastly-Debug-TTL .

Ces en-têtes ne sont reconnus par aucun navigateur et leur suppression n'affectera pas du tout l'affichage des pages. Mais comme ils peuvent vous fournir au développeur des informations utiles, vous pouvez les enregistrer.

Malentendu (Pragma)

Je ne m'attendais pas à ce qu'en 2018 je Pragma mentionner l'en-tête Pragma , mais selon les archives HTTP, il est toujours en tête (11ème place). Non seulement il a été déclaré obsolète en 1997, mais il n'a jamais été conçu comme un en-tête de réponse, mais uniquement dans le cadre d'une demande.

Pragma: no-cache

Néanmoins, il est si largement utilisé comme en-tête de réponse que certains navigateurs le reconnaissent même dans ce contexte. Mais aujourd'hui, il n'y a presque aucune chance que quelqu'un comprenne Pragma dans le contexte de la réponse, mais ne comprend pas Cache-Control . Si vous souhaitez désactiver la mise en cache, tout ce dont vous avez besoin est Cache-Control: no-store, private .

Non-navigateurs (X-Robots-Tag)

Une rubrique de notre top 30 n'est pas une rubrique pour le navigateur. X-Robots-Tag conçu pour les robots tels que les robots Google ou Bing. Puisqu'il est inutile pour un navigateur, vous pouvez définir une telle réponse uniquement aux demandes des robots. Ou vous décidez que cela rend les tests difficiles ou viole les conditions d'utilisation du moteur de recherche.

Bugs

Enfin, il vaut la peine de terminer par une mention honorable de simples erreurs. L'en-tête Host est logique dans la demande , mais s'il apparaît dans la réponse, votre serveur n'est probablement pas configuré correctement (et je voudrais savoir comment). Cependant, 68 domaines dans l'archive HTTP renvoient un en-tête Host dans leurs réponses.

Suppression d'en-têtes sur un serveur CDN Edge

Heureusement, si votre site fonctionne rapidement avec nous, la suppression des en-têtes est assez simple à l'aide de VCL . Si vous souhaitez que l'équipe de développement soit vraiment utile pour le débogage, mais que cela soit caché au grand public, cela peut facilement être fait à l'aide de cookies ou de l'en-tête HTTP entrant:

unset resp.http.Server;
unset resp.http.X-Powered-By;
unset resp.http.X-Generator;

if (!req.http.Cookie:debug && !req.http.Debug) {
unset resp.http.X-Amzn-RequestID;
unset resp.http.X-Cache;
}

Dans le prochain article, je parlerai des meilleures pratiques pour les titres vraiment nécessaires et comment les activer sur le serveur de périphérie CDN.