HTTPヘッダ一覧

主要なHTTPリクエスト・レスポンス・共通ヘッダを簡潔な説明付きで検索できます。

60件

このブラウザに内蔵した一覧を参照します。送信はしません。

標準・一般的なヘッダーのみです。ベンダー固有・廃止済みヘッダーは省略し、ホップ単位やCORSプリフライトの細部は要約です。

ヘッダー方向役割
Acceptリクエストクライアントが受け付けるコンテンツ形式（例: text/html、application/json）。
Accept-Encodingリクエストクライアントが受け付ける圧縮方式（gzip・br・zstdなど）。
Accept-Languageリクエスト希望する自然言語（例: en-US、ja;q=0.9）。
Authorizationリクエスト認証情報。Bearerトークン・Basic認証・署名など。
Cache-Control両方キャッシュ制御。max-age・no-cache・no-store・privateなど。
Connection両方keep-alive・closeなどのホップ単位の接続制御。
Content-Dispositionレスポンスattachmentとファイル名を指定してダウンロード扱いにします。
Content-Encodingレスポンス本文に適用された圧縮（gzip・brなど）。
Content-Languageレスポンス本文の自然言語。
Content-Length両方本文のバイト数。
Content-Locationレスポンス返された表現の正式なURL。
Content-Rangeレスポンスこの部分応答が含む範囲（例: bytes 0-99/500）。
Content-Security-Policyレスポンススクリプト・画像・フレームなどの読み込み元を制限します。
Content-Type両方本文のメディア形式（例: application/json; charset=utf-8）。
Cookieリクエストクライアントがサーバーへ送り返すCookie。
Cross-Origin-Embedder-Policyレスポンスクロスオリジン資源の読み込みに明示的な許可を要求します（require-corp）。
Cross-Origin-Opener-Policyレスポンスクロスオリジンの opener からウィンドウを分離します（same-origin）。
Cross-Origin-Resource-Policyレスポンスこの資源を埋め込めるオリジンを宣言します。
Dateレスポンス応答が生成された時刻（HTTP-date形式）。
ETagレスポンスキャッシュ検証用のバージョンタグ（If-None-Matchと対）。
Expectリクエスト通常は100-continue。大きな本文送信前の確認。
Expiresレスポンス旧来の絶対時刻の有効期限。Cache-Controlが優先されます。
Forwardedリクエスト標準のプロキシ情報（for=・proto=・host=）。
Hostリクエスト要求先のホスト。HTTP/1.1では必須。
If-Matchリクエスト現在のETagと一致する時だけ実行します。
If-Modified-Sinceリクエストこの日時以降に更新があれば本文を返します。
If-None-MatchリクエストETagが一致すれば304を返すキャッシュ再検証。
If-Unmodified-Sinceリクエストこの日時より新しくなければ実行します。
Last-Modifiedレスポンスリソースの最終更新時刻。弱い検証子。
Link両方関連リソースの指定。preloadヒントやページネーション等。
Locationレスポンスリダイレクト先・作成されたリソースのURL。
Originリクエストリクエストの発生元（scheme+host+port）。CORSやCSRF対策で参照。
Permissions-Policyレスポンスカメラ・位置情報・全画面などのブラウザ機能を制御。
Pragma両方HTTP/1.0互換のため残るno-cache指示。
Rangeリクエスト本文の一部を要求。bytes=0-99でダウンロード再開など。
Refererリクエスト遷移元ページのURL（歴史的な綴り）。
Referrer-Policyレスポンス他サイトへ送るRefererの量を制御します。
Retry-Afterレスポンス再試行までの待ち時間（秒または日時）。
Sec-Fetch-Destリクエスト応答の使われ先（document・image・script等）。
Sec-Fetch-Modeリクエストリクエストモード（navigate・cors・no-cors）。
Sec-Fetch-Siteリクエスト発生元との関係（same-origin・cross-site等）。
Serverレスポンス応答したサーバーソフト。安全のため伏せることも多い。
Set-CookieレスポンスCookieを保存。HttpOnly・Secure・SameSite等の属性。
Strict-Transport-Securityレスポンス以後の接続をHTTPSに強制（max-age=63072000; includeSubDomainsなど）。
Transfer-Encodingレスポンス通常はchunked。本文を分割して送ります。
Upgrade-Insecure-Requestsリクエストページ内リソースのHTTPS版を希望する通知。
User-Agentリクエストクライアントソフトの識別子。ブラウザ名・バージョン・OS。
Varyレスポンスキャッシュの区別に使うリクエストヘッダー（例: Accept-Encoding）。
Viaレスポンス経由したプロキシの一覧。
WWW-Authenticateレスポンス認証方式の提示。401応答と一緒に返されます。
X-Content-Type-Optionsレスポンスnosniffを指定。ブラウザに型の推測をさせません。
X-Forwarded-Forリクエスト元のクライアントIPを並べる慣例的なプロキシヘッダー。
X-Frame-OptionsレスポンスDENYかSAMEORIGIN。旧来のクリックジャック対策（現在はCSPのframe-ancestorsを推奨）。
X-XSS-Protectionレスポンス旧ブラウザのXSSフィルター。現在は非推奨で0を推奨。
Access-Control-Allow-OriginレスポンスCORS。この応答を読めるオリジン。
Access-Control-Allow-MethodsレスポンスCORSプリフライト。実リクエストで許可するメソッド。
Access-Control-Allow-HeadersレスポンスCORSプリフライト。許可するリクエストヘッダー。
Access-Control-Max-Ageレスポンスプリフライト結果をキャッシュする秒数。
Access-Control-Request-MethodリクエストCORSプリフライト。実リクエストで使うメソッド。
Access-Control-Request-HeadersリクエストCORSプリフライト。実リクエストで送るヘッダー。

使い方

  1. ヘッダ名やキーワードで検索します。
  2. リクエスト・レスポンス・共通で絞ります。
  3. 意味と注意点を確認します。

対応範囲

よく使われるヘッダの厳選リストで、完全なレジストリではありません。説明は簡潔な要約なので、細かい仕様は一次資料を確認してください。

関連する道具

関連ガイド