Tag: header HTTP

Server-Timing: i millisecondi del backend (non è Lighthouse)

Server-Timing è un header di risposta. Il server ci scrive i millisecondi del backend. Non è Lighthouse. Non è CrUX. Si vede in Network.

Sec-Fetch-User: ?1 (non è CORS, non è il banner)

Sec-Fetch-User è un header di richiesta. Il browser lo scrive solo se c’è un’attivazione dell’utente, valore sempre ?1. Non è CORS. Non è il banner co...

Sec-Fetch-Dest: image (non è CORS, non è il banner)

Sec-Fetch-Dest è un header di richiesta. Il browser dice se la risorsa è document, image, script o empty. Non è CORS. Non è il banner cookie.

Sec-Fetch-Mode: navigate (non è CORS, non è il banner)

Sec-Fetch-Mode è un header di richiesta. Il browser dice se la chiamata è navigate, cors, no-cors, same-origin o websocket. Non è CORS. Non è il banne...

Sec-Fetch-Site: same-origin (non è CORS, non è il banner)

Sec-Fetch-Site è un header di richiesta. Il browser dice se la chiamata è same-origin, same-site, cross-site o none. Non è CORS. Non è il banner cooki...

Clear-Site-Data: le virgolette (non è il banner cookie)

Clear-Site-Data è un header di risposta. Dice al browser di cancellare cache, cookie o storage. Le direttive vanno tra doppi apici. Non è il banner co...

Cross-Origin-Resource-Policy: same-origin (non è CORS, non è COEP)

Cross-Origin-Resource-Policy è un header di risposta della risorsa. Dice chi può caricarla in no-cors. same-origin, same-site o cross-origin. Non è CO...

Cross-Origin-Embedder-Policy: require-corp (non è CORS, non è COOP)

Cross-Origin-Embedder-Policy è un header di risposta. Dice se il documento può caricare risorse no-cors. require-corp chiede CORP. Non è CORS. Non è C...

Cross-Origin-Opener-Policy: same-origin (non è CORS, non è il banner)

Cross-Origin-Opener-Policy è un header di risposta. Dice se la pagina condivide il browsing context group. same-origin isola. Non è CORS. Il banner co...

X-Frame-Options: DENY o SAMEORIGIN (non è frame-ancestors, non è il banner)

X-Frame-Options è un header di risposta. Dice se la pagina può finire in un iframe. DENY o SAMEORIGIN. ALLOW-FROM è obsoleto. Non è frame-ancestors. I...

X-Content-Type-Options: nosniff (non è la CSP, non è il banner)

X-Content-Type-Options è un header di risposta. Dice al browser di rispettare i MIME in Content-Type. nosniff è l'unico valore. Non è la CSP. Il banne...

Permissions-Policy: camera e geolocalizzazione (non il banner cookie)

Permissions-Policy è un header di risposta. Dice quali funzioni — camera, microfono, geolocalizzazione — la pagina e gli iframe possono usare. camera=...

Referrer-Policy: cosa finisce nell'header Referer (non nel banner cookie)

Referrer-Policy è un header di risposta. Dice cosa della URL può finire in Referer. Il default è strict-origin-when-cross-origin. unsafe-url non si us...

CORS: chi può leggere la risposta (non chi può chiamare l'API)

CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugi...

HSTS: l'header che il plugin «forza HTTPS» non sostituisce

Il plugin che forza HTTPS è un redirect. HSTS è un header. Si spedisce in HTTPS, con una rampa di max-age. Il preload non è un default da CMS.

Content-Security-Policy: l'header che i plugin anti-XSS non sostituiscono

La CSP è un header HTTP, non un plugin. Dice al browser da dove può caricare gli script. Report-Only prima, enforcement dopo. unsafe-inline la svuota....