Fetch-Metadaten-Anforderungsheader

Ein Fetch-Metadaten-Anforderungsheader ist ein HTTP-Anforderungsheader, der zusätzliche Informationen über den Kontext liefert, aus dem die Anforderung stammt. Dies ermöglicht es dem Server, Entscheidungen darüber zu treffen, ob eine Anforderung auf Grundlage ihres Ursprungs und der vorgesehenen Nutzung der Ressource zugelassen werden sollte.

Mit diesen Informationen kann ein Server eine Ressourcenschutzrichtlinie implementieren, die es externen Seiten erlaubt, nur jene Ressourcen anzufordern, die für die gemeinsame Nutzung bestimmt und die angemessen verwendet werden. Dieser Ansatz kann helfen, häufige webseitenübergreifende Sicherheitslücken wie CSRF, Cross-site Script Inclusion (XSSI), Timing-Angriffe und informationsbezogene Cross-Origin-Lecks zu mildern.

Diese Header sind mit Sec- vorangestellt und sind daher verbotene Anforderungsheader. Sie können also nicht aus JavaScript heraus modifiziert werden.

Die Fetch-Metadaten-Anforderungsheader sind:

• Sec-Fetch-Site
• Sec-Fetch-Mode
• Sec-Fetch-User
• Sec-Fetch-Dest

Die folgenden Anforderungsheader sind nicht streng "Fetch-Metadaten-Anforderungsheader", da sie nicht in derselben Spezifikation enthalten sind, aber ähnlich Informationen darüber liefern, wie eine Ressource verwendet wird. Ein Server könnte sie verwenden, um sein Caching-Verhalten oder die zurückgegebenen Informationen anzupassen:

• Sec-Purpose
• Service-Worker-Navigation-Preload