Quelles clés sont transmises du serveur au client?

Les clés principales transmises du serveur au client sont utilisées dans les mécanismes de mise en cache HTTP:

• Cache-Control : Contrôle le comportement du cache côté client et proxy. Indique si une ressource peut être mise en cache, sa durée maximale (max-age), la nécessité de revalidation (no-cache), l'interdiction de mise en cache (no-store) et d'autres directives.
• Expires : Indique la date et l'heure exactes après lesquelles la ressource en cache est considérée comme obsolète. Est obsolète (deprecated) par rapport à Cache-Control: max-age.
• ETag : Identifiant unique de la version de la ressource. Utilisé dans l'en-tête If-None-Match lors de requêtes répétées pour vérifier l'actualité de la copie en cache. Si l'ETag sur le serveur correspond à celui envoyé par le client, le serveur renvoie le statut 304 Not Modified.
• Last-Modified : Date et heure de la dernière modification de la ressource. Utilisé dans l'en-tête If-Modified-Since pour le même but que ETag. Si la ressource n'a pas été modifiée depuis la date indiquée, le serveur renvoie 304 Not Modified.

En plus du cache, des clés liées à la sécurité et à la gestion des sessions peuvent être transmises:

• Set-Cookie : Définit un cookie côté client. Contient le nom du cookie, la valeur, le domaine, le chemin, la durée de validité, les drapeaux (HttpOnly, Secure, SameSite).
• Strict-Transport-Security (HSTS) : Indique au navigateur que l'accès au domaine doit se faire uniquement via HTTPS pendant une période donnée.
• Public-Key-Pins (HPKP - obsolète) : Indique au navigateur quelles clés publiques doivent être associées au domaine. Utilisé pour prévenir les attaques mitm avec de faux certificats. Obsolète et non recommandé.