Nom d'en-tête interdit

Un nom d'en-tête interdit est un nom d'en-tête HTTP qui ne peut être modifié par programmation, spécifiquement, un nom d'en-tête de requête HTTP (contraste avec Nom d'en-tête de réponse interdit).

Les modifications de ces en-têtes sont interdites pour que l'agent utilisateur garde un total contrôle sur eux. Par exemple, l'en-tête Date est un en-tête de requête interdit, donc ce code ne peut pas définir le champ Date du message :

fetch("https://httpbin.org/get", {
  headers: {
    Date: new Date().toUTCString(),
  },
});

Les noms commençant par Sec- sont réservés à la création de nouveaux en-têtes protégés des API qui donnent aux développeur·euse·s le contrôle sur les en-têtes, comme fetch(). Les en-têtes interdits sont l'un des suivants :

• Accept-Charset
• Accept-Encoding
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Connection
• Content-Length
• Cookie
• Date
• DNT
• Expect
• Host
• Keep-Alive
• Origin
• Permissions-Policy
• En-tête Proxy-
• En-tête Sec-
• Referer
• TE
• Trailer
• Transfer-Encoding
• Upgrade
• Via
• X-HTTP-Method, mais uniquement lorsqu'il contient un nom de méthode interdit (CONNECT, TRACE, TRACK)
• X-HTTP-Method-Override, mais uniquement lorsqu'il contient un nom de méthode interdit
• X-Method-Override, mais uniquement lorsqu'il contient un nom de méthode interdit