Quais chaves são transmitidas do servidor para o cliente?

As principais chaves transmitidas do servidor para o cliente são usadas nos mecanismos de cache HTTP:

• Cache-Control: Controla o comportamento do cache tanto no lado do cliente quanto no lado dos proxies. Indica se um recurso pode ser armazenado em cache, seu tempo máximo de vida (max-age), a necessidade de revalidação (no-cache), proibição de cache (no-store) e outras diretivas.
• Expires: Indica a data e hora exatas após as quais o recurso em cache é considerado desatualizado. Está obsoleto (deprecated) em relação ao Cache-Control: max-age.
• ETag: Identificador único da versão do recurso. Usado no cabeçalho If-None-Match em requisições repetidas para verificar a atualidade da cópia em cache. Se o ETag no servidor corresponder ao enviado pelo cliente, o servidor retorna o status 304 Not Modified.
• Last-Modified: Data e hora da última modificação do recurso. Usado no cabeçalho If-Modified-Since para o mesmo propósito que ETag. Se o recurso não tiver sido alterado desde a data indicada, o servidor retorna 304 Not Modified.

Além do cache, podem ser transmitidas chaves relacionadas à segurança e à gestão de sessões:

• Set-Cookie: Define um cookie no lado do cliente. Contém o nome do cookie, valor, domínio, caminho, período de validade, flags (HttpOnly, Secure, SameSite).
• Strict-Transport-Security (HSTS): Indica ao navegador que o acesso ao domínio deve ser feito apenas via HTTPS durante um período de tempo definido.
• Public-Key-Pins (HPKP - obsoleto): Indica ao navegador quais chaves públicas devem estar associadas ao domínio. Era usado para prevenir ataques mitm com certificados falsificados. Está obsoleto e não é recomendado.