Код статусу HTTP сигналізує про поганий або відсутній заголовок хоста

Чи є код статусу HTTP, який доцільно використовувати для клієнтів, які надсилають неправильне ім’я хоста (або взагалі жодне) через SNI або заголовок HTTP Host?

Старше питання адреса , як і чому такі запити відбуваються в першу чергу , а також як можна технічно впоратися з ними в Apache. Однак він не стосується вибору коду статусу для відповіді.

Раніше я реалізував проксі-сервер HTTP, який надсилав би код статусу 502 та сторінку html, що пояснює, чому було створено повідомлення про помилку. Моє обґрунтування використання 502 було сподіванням, що я в основному бачу це через неправильні конфігурації, що означало, що проксі не може знайти відповідний сервер. Насправді виявилося набагато частіше просто бачити цілком неправдиві імена хостів.

Чи є інший код статусу, який є більш відповідним і чітко сигналізує клієнту, що сервер за цією IP-адресою не розпізнає значення, надіслане через SNI та / або заголовок хоста?

RFC 6066 не вказує і навіть не рекомендує будь-яку конкретну помилку HTTP у випадку, якщо ім'я хоста, надіслане через SNI, не відповідає заголовку HTTP Host. Це дійсно рекомендується, щоб сервер перервати рукостискання TLS , якщо ім'я хоста SNI не один , що він надає послугу. З розділу 3 :

Якщо сервер зрозумів розширення ClientHello, але не розпізнає ім'я сервера, СЕРЕДУ слід виконати одну з двох дій: або перервати рукостискання, надіславши попередження про невизнане ім'я фаталу (112) фатального рівня, або продовжуйте рукостискання.

Оскільки такий неправильний запит може пройти через рукостискання TLS і його потрібно відхилити в HTTP, необхідний код відповіді HTTP. З усіх існуючих лише одна справді відповідає ситуації:

6.5.1. 400 Поганий запит

Код стану 400 (поганий запит) вказує на те, що сервер не може або не обробляє запит через те, що сприймається як помилка клієнта (наприклад, синтаксис неправильного запиту, неправильне обрамлення повідомлення запиту або оманливе маршрутизація запиту).

Фактично це відповідь, яку визначає RFC 7230. З розділу 5.4, що описує заголовок хоста:

Сервер ПОВИНЕН відповісти кодом статусу 400 (неправильний запит) на будь-яке повідомлення запиту HTTP / 1.1, у якому відсутнє поле заголовка хоста, і на будь-яке повідомлення запиту, що містить більше одного поля заголовка хоста або поле заголовка хоста з недійсним значенням поля .

Я настійно рекомендую не використовувати 502 для цього. Її семантика вказує на те, що на стороні сервера щось не так і що запит буде успішним, якщо його спробувати пізніше.