Web・API / Web
HTTPヘッダーとは
HTTP header。HTTPリクエストやレスポンスに付く補足情報です。
用語集内のカードを見る詳細な図解
クライアント要求ヘッダーを送る
プロキシ/CDN中継で追加/削除される
アプリアプリが処理に使う
レスポンス応答ヘッダーで制御を返す
- 同じリクエストで保存
- 中継での付け替えを見る
- 機密情報を入れない
この記事で学べること
HTTPヘッダーを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- HTTPヘッダーを読むときの前提
- 同じリクエストで両方向を見る
- 中継での付け替えを見る
- 機密情報を混ぜない
- 変更証跡と引き継ぎ
実務メモ
リクエストとレスポンスを同じ観測点で保存する
どこで効くか
HTTPヘッダーは認証、Cookie、CORS、キャッシュ、セキュリティヘッダー、圧縮、リダイレクト、API障害調査で効きます。中継機器差分の確認でも重要です。
残す証跡
証跡にはURL、メソッド、ステータス、リクエストヘッダー、レスポンスヘッダー、CDN/WAF/LBの経由、Request ID、確認コマンド、観測点を残します。
避けたい誤解
ブラウザ、curl、CDNログ、アプリログでは見えるヘッダーが違います。Authorization、Cookie、APIキーなどの秘密値をチケットや共有資料へ貼らないようにします。
まず確認すること
- 同じリクエストで両方向のヘッダーを保存する
- 中継機器での追加/上書きを確認する
- 機密ヘッダーをマスクする
HTTPヘッダーを読むときの前提
HTTPヘッダーは、HTTPリクエストやレスポンスに付く補足情報です。認証、キャッシュ、CORS、Cookie、セキュリティ、圧縮、トレース、障害調査で確認します。
実務では、Authorization、Cookie、Set-Cookie、Cache-Control、Vary、Origin、CSP、HSTS、X-Forwarded-For、Content-Type、Request IDを見ます。
証跡には、対象URL、メソッド、ステータス、リクエストヘッダー、レスポンスヘッダー、経由したCDN/WAF/LB、確認コマンド、確認時刻を残します。
同じリクエストで両方向を見る
障害調査では、リクエストヘッダーとレスポンスヘッダーを同じリクエストで保存します。片方だけでは、認証、CORS、キャッシュ、圧縮、リダイレクトの判断ができません。
ブラウザ、curl、プロキシログ、アプリログでは見えるヘッダーが違います。中継機器が追加・削除・正規化するヘッダーもあるため、観測点を明記します。
- 観測点を記録する。
- リクエストとレスポンスを同じ証跡に残す。
- ブラウザとcurlの差分を見る。
中継での付け替えを見る
CDN、WAF、リバースプロキシ、ロードバランサーは、HTTPヘッダーを追加、削除、上書きすることがあります。X-Forwarded-ForやHost、Forwarded、Request IDは経路調査で重要です。
セキュリティヘッダーやCORSヘッダーがオリジンでは正しくても、CDNで上書きされることがあります。公開URLで返る値を最終結果として確認します。
- CDN/WAF/LBの設定を確認する。
- 公開URLとオリジン直の値を比較する。
- Request IDでログを突合する。
機密情報を混ぜない
Authorization、Cookie、APIキー、内部トークンなどはヘッダーに載ることがあります。調査ログや問い合わせ資料へそのまま貼ると漏えいになります。
証跡化するときは、値をマスクし、ヘッダー名、属性、有無、プレフィックス、期限など必要な情報だけを残します。再現に必要な秘密値は共有しません。
- 機密ヘッダーをマスクする。
- ログ出力対象を確認する。
- 共有資料に秘密値を貼らない。
変更証跡と引き継ぎ
HTTPヘッダー対応では、対象URL、ヘッダー名、変更前後、設定箇所、経由機器、影響範囲を残します。ヘッダーはアプリ、CDN、WAF、ブラウザの境界にまたがります。
引き継ぎでは、Web基盤担当、API担当、セキュリティ担当、関連語としてCORS、Cookie、Vary、HSTS、CSPを残すと確認しやすくなります。
- 設定箇所と最終返却値を対応付ける。
- マスク済みの証跡を保存する。
- 変更後の代表URLを確認する。
関連語
同じ主要カテゴリの用語
Web・APIの学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。