HTTP Headers Reference

CORS でリソースへのアクセスを許可するオリジンを指定する。* で全オリジン許可、特定ドメインで制限できる。

CORS のプリフライトレスポンスで、許可する HTTP メソッドを指定する。

プリフライトリクエストへの応答で、実際のリクエスト時に使用できるヘッダーを指定する。

プリフライトリクエストの結果をキャッシュできる秒数を指定する。ブラウザが同じプリフライトを繰り返さない時間。

オブジェクトがプロキシキャッシュに保存されてからの秒数を示す。

リソースに対してサポートされている HTTP メソッドの一覧を示す。405 Method Not Allowed レスポンスに含める。

コンテンツをインライン表示するか、ダウンロードするかを指示する。ファイルのダウンロード処理に使用する。

Range リクエストへの応答で、送信されたデータのボディ内での位置を示す。ファイルの部分ダウンロードに使用する。

リソースの特定バージョンを識別するための識別子。クライアントはこれをキャッシュ検証に使う。

レスポンスが陳腐化する日時を示す。Cache-Control に max-age がある場合は無視される。

リソースが最後に変更された日時を示す。If-Modified-Since ヘッダーによる条件付きリクエストに使われる。

リダイレクト先の URL を示す。3xx リダイレクトや 201 Created レスポンスで使用される。

サービスが使用不可な場合（503）やレート制限時（429）に、次のリクエストまでの待機時間を示す。

リクエストを処理したサーバーソフトウェアの情報を示す。セキュリティ上の理由で詳細を隠すことが推奨される。

クライアントにクッキーを設定する。Secure・HttpOnly・SameSite などの属性でセキュリティを強化できる。

キャッシュがどのリクエストヘッダーに基づいてレスポンスを変えるかを示す。CDN やプロキシキャッシュに重要。

401 Unauthorized レスポンスで、リソースへのアクセスに必要な認証方式を示す。

ブラウザが読み込み可能なリソースのソースを制限する。XSS やデータインジェクション攻撃を防ぐ重要なセキュリティヘッダー。

ブラウザに HTTPS のみでサーバーに接続するよう指示する（HSTS）。max-age で有効期間を指定する。

ブラウザの MIME タイプスニッフィングを防止する。nosniff を指定することで宣言された Content-Type のみを使用させる。

ページを iframe 内に表示することを制御する。クリックジャッキング攻撃を防ぐために使用する。

古いブラウザの XSS フィルターを有効化する。CSP が普及した現在は非推奨とされているが、古いブラウザ向けに設定されることがある。

Referer ヘッダーに含める情報量を制御する。プライバシー保護とデバッグ情報のバランスを取る。

ブラウザの機能や API（カメラ・マイク・位置情報など）をページや iframe で使用できるかを制御する。