HTTP

Příklady z praxe

1. 01

   Syrový požadavek a odpověď HTTP/1.1

   Když do prohlížeče zadáte adresu, odejde textový požadavek se jménem hostitele a hlavičkami. Server vrátí stavový řádek, hlavičky a tělo. Stejnou výměnu si můžete vynutit ručně přes telnet nebo curl a přesně vidět, co obě strany poslaly.

   GET /clanky/http HTTP/1.1
   Host: webzi.cz
   Accept: text/html
   Accept-Encoding: gzip
   
   HTTP/1.1 200 OK
   Content-Type: text/html; charset=utf-8
   Cache-Control: public, max-age=300
   Content-Length: 4821

2. 02

   Podmíněný požadavek ušetří přenos dat

   Server u odpovědi vrátí ETag. Při dalším načtení pošle prohlížeč hlavičku If-None-Match s touto hodnotou. Pokud se obsah nezměnil, server odpoví 304 Not Modified bez těla a klient použije uloženou kopii. U obrázků a statických skriptů to typicky ušetří většinu přenesených bajtů.

   GET /assets/app.js HTTP/1.1
   Host: webzi.cz
   If-None-Match: "9f2a4c1"
   
   HTTP/1.1 304 Not Modified
   ETag: "9f2a4c1"
   Cache-Control: public, max-age=31536000, immutable

Časté omyly

MýtusGET požadavek nemůže nic rozbít, jen čte data.

Ve skutečnostiBezpečnost metody GET je smluvní pravidlo specifikace, ne technická pojistka. Pokud si aplikace naprogramuje mazání přes odkaz s GET, smaže data i prohlížečový prefetch nebo crawler. Změnové operace patří pod POST, PUT, PATCH nebo DELETE.

MýtusHTTP/2 a HTTP/3 jsou nové protokoly, takže se musí přepsat API.

Ve skutečnostiNovější verze HTTP mění jen způsob přenosu zpráv po síti. Metody, stavové kódy, hlavičky i sémantika požadavků zůstávají stejné, takže aplikační kód se obvykle nemění vůbec a upgrade se řeší na úrovni serveru nebo CDN.

MýtusHTTPS je jiný protokol než HTTP.

Ve skutečnostiHTTPS je totéž HTTP, jen přenášené uvnitř šifrovaného TLS spojení. Metody, kódy i hlavičky jsou identické, přibývá jen šifrování, ověření identity serveru certifikátem a ochrana proti změně dat na cestě.

Časté dotazy

Jaký je rozdíl mezi stavovými kódy 401 a 403?

Stavový kód 401 Unauthorized znamená, že server požadavek neověřil: chybí přihlašovací údaje nebo je token neplatný či vypršelý. Odpověď by měla obsahovat hlavičku WWW-Authenticate s tím, jaké ověření server očekává. Kód 403 Forbidden naopak znamená, že identita je známá a platná, jen daný uživatel nemá k prostředku oprávnění. Opakované poslání stejných údajů u 403 nepomůže, u 401 ano, pokud se klient přihlásí správně. Praktické pravidlo: 401 řeší přihlášení, 403 řeší role a oprávnění.

Kdy se hodí přejít z HTTP/1.1 na HTTP/2 nebo HTTP/3?

Přechod na HTTP/2 dává největší smysl u stránek, které načítají hodně malých souborů: skripty, styly, ikony, obrázky. Multiplexování odstraní čekání ve frontě a komprese hlaviček sníží režii opakovaných cookies. HTTP/3 nad QUIC pomáhá hlavně na nespolehlivých mobilních sítích, kde ztráta jednoho paketu neblokuje ostatní streamy, a při rychlém navazování spojení. U jednoduchého API s malým počtem velkých odpovědí je rozdíl menší. Podporu obvykle zapnete na úrovni reverzní proxy nebo CDN, aplikační kód zůstává beze změny.

Jak HTTP udržuje přihlášeného uživatele, když je bezstavové?

HTTP samo o sobě mezi požadavky nic nepamatuje, stav se proto přenáší v každém požadavku znovu. Nejčastěji server po přihlášení vystaví session cookie, kterou prohlížeč automaticky posílá v hlavičce Cookie u dalších požadavků na stejnou doménu. Alternativou u API je bearer token v hlavičce Authorization, typicky JWT. Server pak podle identifikátoru dohledá relaci v databázi nebo si ověří podpis tokenu. Cookies je vhodné označit atributy HttpOnly, Secure a SameSite, jinak jsou zneužitelné skriptem na stránce nebo přes cizí web.

Co znamenají hlavičky Cache-Control a ETag pro rychlost webu?

Hlavička Cache-Control určuje, jestli a jak dlouho smí prohlížeč nebo CDN odpověď uchovat. Hodnota max-age s vysokým číslem se hodí pro soubory s hashem v názvu, protože se jejich obsah nikdy nemění. ETag je otisk konkrétní verze obsahu: klient ho vrátí v hlavičce If-None-Match a server může odpovědět 304 Not Modified bez těla. Kombinace obojího snižuje objem přenášených dat i latenci a přímo se promítá do metrik načítání stránky. Chybějící cache hlavičky patří mezi nejčastější příčiny zbytečně pomalého webu.

Proč je špatný nápad posílat data měnící stav přes metodu GET?

Metoda GET je ve specifikaci definovaná jako bezpečná, což znamená, že by neměla měnit stav na serveru. Prohlížeče, proxy servery i vyhledávací roboti na to spoléhají: odkazy si předběžně načítají, ukládají do cache a opakují je při obnovení stránky. Pokud se za GET odkazem skrývá mazání nebo platba, operace se provede bez záměru uživatele. Parametry v URL navíc končí v logách serveru, v historii prohlížeče a v hlavičce Referer, takže se přes GET nemají posílat ani hesla nebo tokeny.

Zdroje

1. RFC 9110: HTTP Semantics(otevře se v novém okně)IETF / RFC Editor, 2022
2. RFC 9112: HTTP/1.1(otevře se v novém okně)IETF / RFC Editor, 2022
3. RFC 9114: HTTP/3(otevře se v novém okně)IETF / RFC Editor, 2022
4. HTTP(otevře se v novém okně)MDN Web Docs
5. Hypertext Transfer Protocol (HTTP) Status Code Registry(otevře se v novém okně)IANA

Související pojmy

• CookieCookie je malý údaj, který web uloží v prohlížeči a prohlížeč jej při dalších požadavcích posílá zpět příslušnému webu. Používá se pro přihlášení, nastavení, košík, analytiku i reklamu. Bezpečné použití závisí na atributech jako Secure, HttpOnly, SameSite, expirace a správném souhlasu uživatele.
• CORSCORS je mechanismus prohlížečů a HTTP hlaviček, který říká, zda skript z jednoho originu smí číst odpověď z jiného originu. Chrání uživatele před nechtěným přístupem webů k datům dostupným v jeho prohlížeči, ale není náhradou autentizace, autorizace ani serverové kontroly požadavků.
• HTTPSHTTPS je zabezpečená varianta protokolu HTTP, která přenáší webovou komunikaci přes TLS a tím šifruje obsah, ověřuje identitu serveru a chrání data před úpravou po cestě. Používá se u webů, API i aplikací, kde prohlížeč nebo klient potřebuje důvěryhodné spojení se serverem.
• TCPTCP je transportní protokol internetu, který nad IP vytváří spolehlivý, uspořádaný a obousměrný proud bajtů mezi dvěma koncovými body. Aplikacím poskytuje spojení, porty, potvrzování doručení, řízení toku a reakci na zahlcení sítě. Používají ho například HTTP/1.1, HTTP/2, SSH, SMTP a mnoho databázových klientů.
• REST APIREST API je způsob návrhu webového rozhraní, kde klient pracuje se zdroji přes jednotné HTTP operace a server vrací jejich reprezentace, typicky ve formátu JSON. Důraz klade na jednoznačné adresy, bezstavovou komunikaci, cachování a oddělení klienta od serveru, ne na konkrétní knihovnu ani protokol navíc.
• WebhookWebhook je způsob, jak aplikace automaticky oznámí jiné aplikaci událost pomocí HTTP požadavku na předem zadanou adresu. Místo průběžného dotazování odešle zdrojový systém zprávu ve chvíli, kdy se něco stane, například po zaplacení objednávky, změně stavu úlohy nebo vytvoření záznamu.
• 3D model3D model je digitální reprezentace objektu nebo prostoru ve třech rozměrech, složená z geometrie, materiálů a často i textur, animací či fyzikálních vlastností. Používá se v hrách, filmech, průmyslovém návrhu, architektuře, e-commerce i simulacích, kde software z modelu počítá zobrazení nebo další data.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.