Analyseur d'en-têtes HTTP

Oui. L'analyseur détecte automatiquement si l'entrée est une requête ou une réponse HTTP en fonction de la première ligne et l'analyse en conséquence. Les lignes de requête commencent par une méthode HTTP (GET, POST, etc.) tandis que les lignes de réponse commencent par HTTP/version.

Oui. Les en-têtes Set-Cookie sont analysés en cookies individuels affichant le nom, la valeur et tous les indicateurs tels que HttpOnly, Secure, SameSite, Path, Domain et Max-Age.

Le format standard HTTP/1.1 et HTTP/2 avec un en-tête par ligne au format « Nom : Valeur ». Vous pouvez copier les en-têtes directement depuis les outils de développement du navigateur.

Les requêtes transportent généralement host, user-agent, accept, accept-encoding et cookie ; les réponses renvoient content-type, content-length, cache-control, set-cookie et date. Le trafic d'API ajoute authorization et content-type: application/json à l'aller, et des en-têtes rate-limit au retour. La RFC 9110 (sémantique HTTP, 2022) est la référence moderne qui les définit tous.

Les en-têtes de requête (host, authorization, accept-*) décrivent ce que demande le client ; les en-têtes de réponse (location, set-cookie, retry-after) décrivent ce qui est renvoyé. Certains champs apparaissent dans les deux sens (cache-control, content-type), et quelques-uns gouvernent la connexion elle-même (connection: keep-alive) plutôt que le contenu du message. Cet analyseur indique de quel côté appartient chaque en-tête.

Selon la RFC 9110, la plupart des champs répétés se combinent en une seule liste séparée par des virgules - deux lignes cache-control et une ligne no-cache, no-store sont équivalentes. Set-Cookie est l'exception documentée : il ne peut jamais être fusionné par une virgule car les dates Expires contiennent des virgules, donc les proxys doivent transmettre chaque Set-Cookie séparément. Cette exception est une source classique de bugs de proxy.

Les noms de champs sont passés en minuscules et voyagent dans des trames binaires compressées via HPACK ou QPACK ; chaque requête ouvre son propre flux, et les en-têtes de connexion comme Host ont été remplacés par le pseudo-en-tête :authority aux côtés de :method, :scheme et :path. Sémantiquement, les champs suivent toujours la RFC 9110 - c'est le format filaire qui a changé, pas le vocabulaire.

Un espace entre le nom du champ et les deux-points (Header : value) - l'analyse HTTP/1.1 et la spécification HTTP/2 le rejettent toutes les deux pour prévenir le request smuggling. Sont également invalides : les espaces ou les octets non ASCII dans le nom du champ, les caractères de contrôle dans les valeurs, et l'obs-fold (un en-tête continué par une ligne indentée), que la RFC 9110 marque comme obsolète - remplacez-le par une seule ligne ou une valeur de liste.