¿Qué significan Cache-Control, Authorization, CORS y las demás cabeceras HTTP?
Cada petición y respuesta HTTP lleva un conjunto de cabeceras HTTP diciendo a cada lado qué pasa: qué formato, qué cookies, qué reglas de caché, qué permisos. Hay docenas y la mayoría de developers recuerda cinco y panican ante el resto.
Busca cualquier cabecera aquí: por nombre (Cache-Control), descripción ("fuerza HTTPS") o categoría (Caching, Security, CORS). Cada una tiene una explicación en lenguaje claro, un valor de ejemplo listo para copiar y una lista de cabeceras relacionadas.
Corre offline porque los datos están integrados. Filtrado instantáneo, copia solo el nombre, solo el valor o la línea `Nombre: valor` completa.
Cómo usarla
- Escribe un nombre (`Cache-Control`), descripción (`fuerza HTTPS`) o categoría en la caja de búsqueda. La lista filtra al instante.
- Usa las pastillas Autenticación / Caching / CORS / Security / Cookies / Proxies / Otros para acotar.
- Filtro de dirección: Petición / Respuesta / Ambas: útil cuando quieres específicamente algo que el servidor devuelve.
- Las flechas ↑↓ mueven la selección, Enter copia el nombre del primer hit.
- Pulsa una cabecera para ver el panel de detalle: descripción, valor de ejemplo, cabeceras relacionadas. Copia solo el nombre, solo el valor o el `Nombre: valor` completo.
Cuándo es útil
Situaciones del día a día con cabeceras HTTP:
- Configuración CORS: ¿qué cabeceras Access-Control-* necesitas para que el frontend X pueda leer la API Y? Todas en una categoría.
- Hardening de seguridad: auditar un servidor. Comprueba: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy. Todas marcadas como populares.
- Caché y CDN: ¿por qué el CDN no cachea? Inspecciona Cache-Control + Vary + Expires + ETag. Entiende cómo interactúan.
- Depurar 401/403: recibiste un 401 pero no sabes qué esquema anunciar. Busca WWW-Authenticate, alinea Authorization.
- Rate limiting: implementar 429 Too Many Requests. ¿Qué cabecera dice al cliente que pare? Retry-After. Valor de ejemplo aquí mismo.
- Migración a HTTPS: ¿cómo activas HSTS? No solo la sintaxis sino la pista "incluir preload para ser hardcodeado en navegadores".
- Onboarding: un junior pregunta "¿qué es X-Forwarded-For?". Envíale esta página en lugar de explicar.
Herramientas relacionadas: códigos de status HTTP para la misma idea pero con códigos de respuesta. El inspector de cabeceras HTTP muestra qué devuelve un servidor real en una URL en vivo.