HTTP Headers Reference
Referencia completa de encabezados HTTP de solicitud y respuesta.
33 headers
Media types the client can process (e.g. application/json, text/html).
Accept: text/html,application/xhtml+xmlContent encodings the client supports (gzip, deflate, br).
Accept-Encoding: gzip, deflate, brPreferred natural languages for the response.
Accept-Language: en-US,en;q=0.9Credentials for HTTP authentication.
Authorization: Bearer eyJhbGc...Directives for caching mechanisms in both requests and responses.
Cache-Control: no-cache, no-storeControl options for the current connection.
Connection: keep-aliveSize of the request/response body in bytes.
Content-Length: 348Media type of the request/response body.
Content-Type: application/json; charset=utf-8HTTP cookies previously sent by the server.
Cookie: session=abc123; user=johnDomain name and port of the server. Required in HTTP/1.1.
Host: www.example.com:443Makes the request conditional; returns 304 if not modified.
If-Modified-Since: Mon, 18 Jul 2016 02:36:04 GMTMakes request conditional using ETags.
If-None-Match: "737060cd8c284d8af7ad3082f209582d"The origin that initiated the request (for CORS).
Origin: https://developer.example.comAddress of the previous web page that linked to the current page.
Referer: https://developer.example.com/pageApplication, OS, vendor, and version of the requesting client.
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)Indicates whether the response can be shared with code from the given origin.
Access-Control-Allow-Origin: *HTTP methods allowed when accessing the resource for CORS.
Access-Control-Allow-Methods: GET, POST, PUTHeaders that can be used during the actual CORS request.
Access-Control-Allow-Headers: Content-Type, AuthorizationEncoding applied to the response body (gzip, br, etc.).
Content-Encoding: gzipControls resources the user agent is allowed to load.
Content-Security-Policy: default-src 'self'Identifier for a specific version of a resource (for caching).
ETag: "33a64df551425fcc55e4d42a148795d9f25f89d4"Date/time after which the response is considered stale.
Expires: Thu, 01 Dec 2025 16:00:00 GMTDate/time when the resource was last modified.
Last-Modified: Wed, 21 Oct 2015 07:28:00 GMTURL to redirect to for 3xx responses or the URL of the newly created resource.
Location: /new-pageHow long to wait before making another request (rate limiting/503).
Retry-After: 120Send a cookie from the server to the user agent.
Set-Cookie: id=a3fWa; Expires=Thu, 21 Oct 2025 07:28:00 GMT; Secure; HttpOnlyForce HTTPS for all future connections (HSTS).
Strict-Transport-Security: max-age=31536000; includeSubDomainsForm of encoding used to safely transfer the payload body.
Transfer-Encoding: chunkedDetermines which request headers to use for cache key.
Vary: Accept-Encoding, Accept-LanguageAuthentication method to access the resource (sent with 401).
WWW-Authenticate: Basic realm="Access to staging site"Prevent MIME type sniffing.
X-Content-Type-Options: nosniffIndicate whether the response can be framed (clickjacking protection).
X-Frame-Options: DENYEnable XSS filtering in older browsers (deprecated, use CSP instead).
X-XSS-Protection: 1; mode=blockAcerca de esta herramienta
La referencia de encabezados HTTP cubre los encabezados de solicitud y respuesta más utilizados, con descripciones en lenguaje sencillo y valores de ejemplo. Los encabezados críticos para la seguridad se resaltan en rojo.
Filtra por categoría (Request, Response o Both) o busca por nombre de encabezado y palabra clave para encontrar rápidamente lo que necesitas.
Cómo usar
- Escribe un nombre de encabezado o palabra clave en el cuadro de búsqueda para filtrar la lista al instante.
- Usa el menú desplegable de categoría para mostrar solo encabezados Request, Response o Both.
- Cada entrada muestra el nombre del encabezado, una insignia de categoría, la descripción y un valor de ejemplo.
- Usa los valores de ejemplo como punto de partida al configurar tu servidor o cliente HTTP.
Casos de uso
Los ingenieros back-end configuran los encabezados de seguridad correctos (CSP, HSTS, X-Frame-Options) antes del despliegue. Los desarrolladores front-end depuran problemas de CORS usando los encabezados Access-Control. Los estudiantes que aprenden HTTP usan la referencia para entender cómo funciona el protocolo.
Preguntas frecuentes
- ¿Cuál es la diferencia entre encabezados de solicitud y de respuesta? — Los encabezados de solicitud son enviados por el cliente para dar contexto (tipos aceptados, autenticación). Los encabezados de respuesta son enviados por el servidor con metadatos sobre la respuesta (tipo de contenido, caché, seguridad).
- ¿Qué encabezados debería añadir todo sitio por seguridad? — Como mínimo: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options y X-Frame-Options en todas las respuestas.
- ¿Se enumeran aquí todos los encabezados HTTP? — No. Esta referencia se enfoca en los encabezados estándar y de seguridad más utilizados. Para una lista completa, consulta la documentación de encabezados HTTP de MDN.