Welche Schlüssel werden vom Server an den Client übertragen?

Die wichtigsten Schlüssel, die vom Server an den Client übertragen werden, werden in den HTTP-Caching-Mechanismen verwendet:

• Cache-Control: Steuert das Caching-Verhalten sowohl auf der Client- als auch auf der Proxy-Seite. Gibt an, ob eine Ressource zwischengespeichert werden darf, ihre maximale Lebensdauer (max-age), die Notwendigkeit der erneuten Validierung (no-cache), das Verbot des Cachings (no-store) und andere Direktiven.
• Expires: Gibt das genaue Datum und die Uhrzeit an, nach denen die zwischengespeicherte Ressource als veraltet gilt. Ist veraltet (deprecated) im Vergleich zu Cache-Control: max-age.
• ETag: Eindeutiger Versionsbezeichner der Ressource. Wird im Header If-None-Match bei wiederholten Anfragen verwendet, um die Aktualität der zwischengespeicherten Kopie zu überprüfen. Wenn ETag auf dem Server mit dem vom Client gesendeten übereinstimmt, gibt der Server den Status 304 Not Modified zurück.
• Last-Modified: Datum und Uhrzeit der letzten Änderung der Ressource. Wird im Header If-Modified-Since für denselben Zweck wie ETag verwendet. Wenn die Ressource seit dem angegebenen Datum nicht geändert wurde, gibt der Server 304 Not Modified zurück.

Neben dem Caching können auch Schlüssel im Zusammenhang mit Sicherheit und Sitzungsverwaltung übertragen werden:

• Set-Cookie: Setzt ein Cookie auf der Client-Seite. Enthält den Cookie-Namen, Wert, Domain, Pfad, Ablaufzeit, Flags (HttpOnly, Secure, SameSite).
• Strict-Transport-Security (HSTS): Gibt dem Browser an, dass der Zugriff auf die Domain nur über HTTPS erfolgen soll, und zwar für einen festgelegten Zeitraum.
• Public-Key-Pins (HPKP - veraltet): Gab dem Browser an, welche öffentlichen Schlüssel mit der Domain verknüpft sein sollen. Wurde verwendet, um MITM-Angriffe mit gefälschten Zertifikaten zu verhindern. Ist veraltet und wird nicht empfohlen.