HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection サイトの安全化 HTTP Observatory HTTP アクセス制御 (CORS) HTTP 認証 HTTP キャッシュ HTTP の圧縮 HTT

「HTTP Availability Hints」という提案仕様がMark Nottinghamによって提出されています。 この提案仕様では、キャッシュで使用されるVaryを補助します。この情報により、キャッシュサーバは効率が向上します。 背景 例えば Client 1から英語(en)のコンテンツが要求され、CDNは英語コンテンツをキャッシュする Client 2から日本語(ja)のコンテンツが要求される CDNがOriginからレスポンスを受け取った際に、"vary: Accept-Encoding" がついています。そのため、CDNはオリジンのコンテンツがaccept-languageに依存していると判断して、日本語(ja)の要求をOriginにプロキシします。 このとき、Originが日本語(ja)には対応しておらず結局英語(en)のコンテンツが返ってくることもあります。CDNは英語

●どんな本なの？ 本書は対話形式で気軽にQUIC,HTTP/3の概要を学ぶことを目的とした技術同人誌です。 プログラムに似た魔法が発展している異世界を舞台に 『主人公は魔法技術競技会での優勝を目指す精霊魔術師で……』というような軽いストーリー仕立てで解説が進行します。 楽しみながらQUIC,HTTP/3を学んで貰えれると筆者としても嬉しく思います。 ●HTTP/3って何？ HTTP/2 の弱点を克服することができるHTTPの最新バージョンです その他、ネットワークの切り替わり時にもコネクションを維持できたり、ハンドシェイク時の通信回数が削減されていたりと様々な機能のアップデートが入っています ●読む上であると良い知識 ハンドシェイク等のTCPの基本をなんとなくわかっている方が望ましいです パケットロスや暗号化等のネットワークの基礎知識もほんのりあると理解が深まります HTTP/2の知識はま

WebHookはシステム連携するのに便利な仕組みですが、呼び出されるのがサーバ側とあって、開発時の確認がしづらいのが問題です。ngrokなどを使ってローカル環境を外部に繋ぐこともできますが、準備が面倒と感じる人もいるでしょう。 そこで使ってみたいのがHTTP Responderです。WebHookの内容を確認できるWebサービスです。 HTTP Responderの使い方 最初に自分の好きなURLを設定します。 後はそのURLに来たアクセスについて、細かく情報が確認できます。 HTTP Responderで設定したURLをWebHookに設定することで、どういった情報が送られてくるかが一目で分かるようになります。さらにレスポンスも決めることができます。URLを複数作れるので、サービスごとに分けられるのも便利です。 HTTP Responderはnode/JavaScript製のオープンソー

3. 副作用 冪等、安全、キャッシャブルのセクションに入る前に、まず「副作用」について解説します。 2014 年 6 月に廃止された RFC-2616 の「9.1 安全と冪等メソッド」のセクション では、「副作用（side effects）」という表現が使用されてきましたが、多くの方は、この「副作用」のことを、「リソースの状態の変化」と解釈されてきたことと思います。[ 1 ] 特に関数型プログラミングにおいては頻出する表現ですが、ソフトウェア工学的にも コンピューターの論理的な状態を変化させ、以降の結果に影響を与えること [ 2 ] とされています。 しかし、HTTP の「冪等と安全」の解釈の混乱を招いてきた要因 [ 3 ] の一つのは、この「副作用」の表現方法が適切ではなかった、ということではないでしょうか。 以下では、その理由について解説しますが、その必要のない方はこのセクションはスキ

20200116追記 chrome://flags/ より、「Experimental Web Platform features」を有効にすることで使用できます 20191210追記 モバイルブラウザを示すブーリアン値をもつSec-CH-UA-Mobileヘッダが仕様に追加されました。 ユーザエージェントは歴史的背景により、複雑な文字列が使用されています。 iOSでは User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 12_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) CriOS/69.0.3497.105 Mobile/15E148 Safari/605.1Edgeでは User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64

<a>タグのhrefなどで指定するURIは、http:やhttps:を省略できます。 具体的には、 と書けます。 省略することで、遷移元のページを httpで開いているときはhttpでアクセスさせられます。 httpsで開いているときはhttpsでアクセスさせることができます。 <a>以外にも<script>, <iframe>, <link>などURI全般でこの書き方を使えます。CSSでも使えます。 メリット httpsで開くページの中にhttpのリンクが混在することを予防できます。 逆に混在すると中間者攻撃を受ける可能性がありますが、それを防ぐことができます。 中間者攻撃を受ける理由は、おおざっぱにいってこうなっています： 1. ユーザがhttpsを使って、あるページにアクセス 2. そのページにhttpへのリンクが混在していると、httpなアクセスが飛ぶ 3. 攻撃者がhttpコンテ

20190215追記 Sec-MetadataはFetch Metadataになりました asnokaze.hatenablog.com CSRF攻撃やクロスドメインリクエストに対してサイドチャネル攻撃をすることで、情報がリークすることがあります。 それを防ぐために、どのようにHTTPリクエストが行われたかサーバサイドでより詳しく判断できるように、Sec-Metadataヘッダという仕様がW3Cの WebAppSec WGで議論されています。仕様については提案者のMike West氏のリポジトリに説明があります「Sec-Metadata (TODO: Bikeshed the name)」 すでに、Chromeへの導入も検討されています。 「Intent to Implement: The `Sec-Metadata` HTTP request header.」 例を見るとより分かりやすい

ブラウザがリソースをFetchするさいに、そのFetchに関するメタ情報をリクエストヘッダに付与するというのがFetch Metadataという仕様です。 この情報を用いれば、画像の読み込みのFetchで銀行用のAPIが叩かれるはずがないといった、明らかな不正なリクエストを検知することができるようになる。 毎度おなじみGoogleのMike West氏によって仕様「Fetch Metadata Request Headers」が書かれている。 以前「Sec-Metadataヘッダについて」で紹介したSec-Metadataをより改良したものです。 ヘッダを分けることでヘッダ圧縮の仕組みとも相性が良くなっています。 Example 以下のような、そのフェッチに関する情報を示すSec-Fetch-*ヘッダが付与される。 Sec-Fetch-Dest: image Sec-Fetch-Mode:

現象 Chrome76 から、クロスオリジンのネットワークリクエストを発行した際の preflight(OPTION リクエスト)が devtool 上で見れなくなっている。 原因 Chrome76 から OOR-CORS(Out-of-Blink web security implementation)というプロジェクト(?)によってネットワークのセキュリティ関係の処理が Blink から移され、その影響で devtool から preflight を確認することができなくなったらしい。 ちなみに OOR-CORS 自体は v76 以前から実装されていたが、v76 でデフォルトで有効になるように変更された模様。 対処 chrome://flags/#out-of-blink-corsを無効にし、Chrome を再起動することで preflight がネットワークタブでも確認できるようにな

As per title, what is the maximum length a URL can be, when using a custom URL scheme with an app? e.g. If I'm launching another app via URL, and passing a blob of data using something like myappscheme://some/path?data=0123456789ABCDEF how long can that string get before the URL gets cut off (or the system refuses to launch the other app at all)?

RFC 2616 (Hypertext Transfer Protocol — HTTP/1.1) states there is no limit to the length of a query string (section 3.2.1). RFC 3986 (Uniform Resource Identifier — URI) also states there is no limit, but indicates the hostname is limited to 255 characters because of DNS limitations (section 2.3.3). While the specifications do not specify any maximum length, practical limits are imposed by web brow

表題の通り。毎度調べるんだけどちゃんとした理由は知らなかったのでまとめてみた。 理由 ざっと調べた限りの原理 RFC3875 4.1.18. の仕様としてヘッダは以下のように加工する仕様がある 元の名前に付随して HTTP_ をつける - を _ に変換する ヘッダをすべて大文字にする 元から _ を使われると元からそうなのか、変換前なのか判断がつかない 一律 _ を使うものは排除する そのため、この問題はCGIプログラムでヘッダを利用することに限られているようで、実はヘッダに使う分には _ を使うことは問題がないらしい。(関連リンクと RFC7230 参照） 関連リンク RFC3875 (CGI の仕様) の Protocol-Specific Meta-Variables について - 刺身☆ブーメランのはてなダイアリー HTTPヘッダ名にアンダースコアはダメよ。 » サイキョウライン