Que signifient Cache-Control, Authorization, CORS et les autres en-têtes HTTP ?
Chaque requête et chaque réponse HTTP transporte un ensemble d'en-têtes HTTP qui indiquent à chaque partie ce qui se passe : quel format, quels cookies, quelles règles de cache, quelles permissions. Il en existe des dizaines et la plupart des développeurs n'en retiennent que cinq, puis paniquent devant le reste.
Cherchez n'importe quel en-tête ici : par nom (Cache-Control), par description (« force HTTPS ») ou par catégorie (Caching, Security, CORS). Chacun a une explication en français clair, un exemple de valeur prêt à copier et une liste d'en-têtes liés.
L'outil fonctionne hors-ligne parce que les données sont intégrées. Filtre instantané, copie du seul nom, de la seule valeur, ou de la ligne `Name: value` complète.
Mode d'emploi
- Saisissez un nom (`Cache-Control`), une description (`force HTTPS`) ou une catégorie dans le champ de recherche. La liste se filtre instantanément.
- Utilisez les pilules Authentication / Caching / CORS / Security / Cookies / Proxies / Other pour affiner.
- Filtre de direction : Request / Response / Both, utile quand vous voulez précisément quelque chose que le serveur renvoie.
- Les flèches ↑↓ déplacent la sélection, Entrée copie le nom du premier résultat.
- Cliquez sur un en-tête pour ouvrir le panneau de détail : description, exemple de valeur, en-têtes liés. Copiez le nom seul, la valeur seule, ou la ligne `Name: value` complète.
Quand c'est utile
Situations courantes avec les en-têtes HTTP :
- Configuration CORS : de quels en-têtes Access-Control-* avez-vous besoin pour que le frontend X puisse lire l'API Y ? Tous regroupés dans une catégorie.
- Durcissement de sécurité : audit d'un serveur. Vérifiez Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy. Tous marqués comme populaires.
- Cache et CDN : pourquoi le CDN ne met-il pas en cache ? Inspectez Cache-Control + Vary + Expires + ETag. Comprenez leurs interactions.
- Déboguer 401/403 : vous recevez un 401 mais ne savez pas quel schéma annoncer. Consultez WWW-Authenticate, alignez Authorization.
- Rate limiting : implémenter 429 Too Many Requests. Quel en-tête indique au client de patienter ? Retry-After. Exemple de valeur juste ici.
- Migration HTTPS : comment activer HSTS ? Pas seulement la syntaxe mais aussi l'indice « include preload pour figurer en dur dans les navigateurs ».
- Onboarding : un junior demande « c'est quoi X-Forwarded-For ? ». Envoyez-lui cette page au lieu d'expliquer.
Outils liés : codes de statut HTTP pour la même idée appliquée aux codes de réponse.