💾 HTTP-статусы и заголовки: что проверять тестировщику

⚙️ Коды статусов: мини-таблица
Код – смысл – что смотреть
200 OK – успех – тело и Content-Type
201 Created – создано – заголовок Location
301/302 – редирект – Location, POST → GET?
307/308 – редирект – метод сохраняется
401 – не авторизован – WWW-Authenticate
403 – нет прав – не путать с 401
404 – не найдено – без лишних деталей
405 – метод запрещён – заголовок Allow
429 – лимит – Retry-After
500/502/503/504 – сбой сервера – без stack trace

📋 Заголовки в фокусе
Content-Type – JSON идёт как application/json, а не text/html
Location – адрес редиректа или нового ресурса
Cache-Control, ETag – кэш и инвалидация после записи
Set-Cookie – флаги Secure, HttpOnly, SameSite
Access-Control-Allow-Origin – CORS для кросс-домена
X-Request-Id – склейка логов при разборе бага

✅ Чек-лист
– 201 после POST, 204 после DELETE, 200 на чтение
– Тело и Content-Type совпадают
– 401 = кто ты, 403 = что тебе можно, не перепутать
– В 5xx нет стектрейса, SQL, ключей
– Retry-After приходит при 429 и 503
– Редирект не теряет Authorization и тело POST

⚙️ Команды
curl -i https://api.site/users – заголовки + тело
curl -I URL – только заголовки
curl -s -o /dev/null -w "%{http_code}" URL – только код

⚠️ Типовые баги
– 200 с текстом ошибки вместо 400/422
– 302 вместо 301: кэш и SEO страдают
– Cookie без HttpOnly и Secure – кража через XSS
– OPTIONS без CORS-заголовков – фронт ловит отказ

Расширенная текстовая версия

#QA #Тестирование #HTTP #API

━━━━━━━━━━━━━━━━━━━━
📢 QA❤️4Life — канал о тестировании
🤖 SyntxAI — все самые нужные нейросети в одном сервисе
🔒 MaxVpn — Удобный и быстрый VPN
🧠 Google AI Pro — подписка на личный Google-аккаунт на 18 месяцев за 990₽
━━━━━━━━━━━━━━━━━━━━
👑 Авторский курс по созданию персональных ИИ-агентов