HTTP ist ein Anwendungsprotokoll für die Kommunikation zwischen Client und Server. Ein Browser verwendet es beispielsweise zum Laden von Webseiten, Bildern oder Skripten. Auch viele Programmierschnittstellen und Webhooks übertragen Informationen mit HTTP.
Wie eine Anfrage aufgebaut ist
Ein Client sendet eine Anfrage mit einer Methode, einem Ziel und gegebenenfalls zusätzlichen Headern und Inhalten. Der Server antwortet mit einem Statuscode, Headern und optional einem Inhalt. GET fordert etwa eine Darstellung einer Ressource an; POST übermittelt Inhalte zur Verarbeitung.
HTTP ist zustandslos: Die Bedeutung einer Anfrage lässt sich unabhängig von vorherigen Anfragen verstehen. Anwendungen können trotzdem Sitzungen verwalten, beispielsweise über Cookies und serverseitig gespeicherte Anmeldedaten.
Typische Statuscodes sind:
- 200: Die Anfrage wurde erfolgreich verarbeitet.
- 301 oder 308: Das Ziel wurde dauerhaft verschoben.
- 404: Die angeforderte Ressource wurde nicht gefunden.
- 500: Bei der Verarbeitung ist ein interner Serverfehler aufgetreten.
Ein Statuscode beschreibt die technische Antwort. Er bestätigt nicht automatisch, dass ein Geschäftsvorgang inhaltlich korrekt abgeschlossen wurde.
HTTP und HTTPS
Beim unverschlüsselten Zugriff über das http-Schema können Daten auf dem Übertragungsweg mitgelesen oder verändert werden. HTTPS schützt die Verbindung mit TLS und ermöglicht die Prüfung der Serveridentität anhand eines Zertifikats. Übliche Standardports sind 80 für HTTP und 443 für HTTPS.
Eine verschlüsselte Verbindung garantiert jedoch weder die Seriosität einer Website noch die Fehlerfreiheit ihrer Anwendung.
HTTP/1.1, HTTP/2 und HTTP/3
Die Versionen verwenden gemeinsame Grundbegriffe wie Methoden und Statuscodes, unterscheiden sich aber beim Nachrichtentransport. HTTP/2 überträgt mehrere Datenströme über eine TCP-Verbindung und komprimiert Header. HTTP/3 nutzt QUIC mit integrierter TLS-Absicherung. Getrennte QUIC-Datenströme können bei Paketverlusten unabhängig voneinander weiterarbeiten.
Bedeutung für den Betrieb
Unternehmen sollten HTTPS, gültige Zertifikate, passende Cache-Regeln und nachvollziehbare Weiterleitungen verwenden. Nach einem Websiteumzug benötigen alte Adressen geeignete neue Ziele. Fehlercodes, Antwortzeiten und fehlgeschlagene Anfragen gehören ins Monitoring. Bei vertraulichen Inhalten müssen zusätzlich Anmeldung, Berechtigungen und die Anwendung selbst geschützt werden.