С какими HTTP заголовками вы сталкивались и каково их назначение

Что проверяют

Знаете ли вы заголовки по группам и понимаете ли, что именно проверять в них при тестировании.

Как отвечать

Группируйте, а не перечисляйте подряд.

Идентификация и содержимое: Host (какой сайт запрошен на общем адресе), Content-Type (формат тела, включая кодировку и границу для multipart), Content-Length, Content-Encoding (gzip, br), Accept и Accept-Language (что клиент готов принять), User-Agent.

Авторизация и состояние: Authorization (Bearer, Basic), Cookie и Set-Cookie, WWW-Authenticate в ответе на 401.

Кэширование: Cache-Control (no-store, max-age, private), ETag и If-None-Match, Last-Modified и If-Modified-Since. Пара из них даёт ответ 304 без тела.

Переадресация и загрузка: Location при 3xx и при 201, Content-Disposition для скачивания файла с именем, Retry-After при 429 и 503.

Кросс-доменные: Origin в запросе, Access-Control-Allow-Origin, -Methods, -Headers, -Credentials в ответе.

Безопасность: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options, Referrer-Policy.

Трассировка: X-Request-Id или traceparent, по которому запрос находится в логах всех сервисов.

Что проверять тестировщику: соответствие Content-Type фактическому телу, флаги куки (HttpOnly, Secure, SameSite), наличие заголовков безопасности, работу кэша по ETag, корректность Location после создания, поведение при отсутствии обязательного заголовка и при подделанном Origin.

Где спотыкаются

Перечисляют заголовки без назначения.

Путают Content-Type запроса и ответа.

Не знают, что Access-Control-Allow-Origin: * несовместим с передачей учётных данных.

Не проверяют флаги куки, хотя это типовая находка в отчёте по безопасности.