Configurer les en-têtes de réponse sortants du cache - CDN

Les en-têtes de réponse sortants font partie des en-têtes de message de réponse HTTP. Ils transportent des paramètres de réponse spécifiques vers les clients et permettent de contrôler divers comportements côté client, tels que la mise en cache, l'accès inter-origine, les types de contenu et les méthodes de téléchargement. En modifiant les en-têtes de réponse sortants, le message de réponse renvoyé par CDN DCDN inclut les en-têtes configurés lorsque les utilisateurs demandent des ressources sur un nom de domaine accéléré. Cela active des fonctionnalités spécifiques telles que l'accès inter-origine.

Informations contextuelles

Les en-têtes de réponse sortants constituent un mécanisme de contrôle de la mise en cache dans le protocole HTTP. Lorsqu'un client demande une ressource, les en-têtes de réponse HTTP renvoyés par le nœud permettent de mettre le contenu en cache sous certaines conditions.

Remarque

La configuration des en-têtes de réponse HTTP s'applique au niveau du domaine. Une fois activée, elle concerne tous les messages de réponse des ressources associées au domaine.
Cette configuration affecte uniquement le comportement de réponse du client (par exemple, un navigateur) et n'a aucun impact sur la mise en cache des nœuds CDN DCDN. La modification des en-têtes de réponse sortants n'est pas prise en charge pour les noms de domaine génériques.

Scénarios

Indiquer au client le type de ressource des fichiers de réponseCDN DCDN : ajoutez l'en-tête de réponse Content-Type: text/html pour informer le client que les fichiers renvoyés par CDN DCDN sont au format HTML.
Mettre en œuvre l'accès aux ressources inter-origines : lorsqu'un utilisateur demande des ressources d'un nom de domaine sur CDN DCDN, configurez l'en-tête de réponse Access-Control-Allow-Origin dans le message de réponse renvoyé par CDN DCDN afin d'activer l'accès inter-origine. Pour plus d'informations, consultez la rubrique Configurer le partage des ressources entre origines. Alibaba Cloud CDN DCDN prend également en charge la validation des demandes inter-origines reçues des utilisateurs sur la base des règles CORS configurées, offrant ainsi un contrôle plus flexible de l'accès aux ressources inter-origines.
Téléchargements de fichiers : lorsque vous accédez à des fichiers OSS via un nom de domaine accéléré par CDN, le navigateur affiche par défaut un aperçu des fichiers. Ajoutez Content-Disposition: attachment aux en-têtes de réponse sortants pour forcer le navigateur à télécharger les fichiers plutôt qu'à les afficher.
Personnaliser le comportement de réponse : ajoutez ou modifiez des informations d'en-tête personnalisées selon vos besoins métier afin d'ajuster le contenu et le format des réponses reçues par les clients.

Remarques

Le système exécute plusieurs configurations de haut en bas, selon leur ordre d'apparition dans la liste. Les effets sont cumulatifs. Si plusieurs configurations modifient le même en-tête, la dernière prévaut. Dans l'exemple suivant, c'est la Configuration 2 qui s'applique :
- Configuration 1 : ajouter l'en-tête de réponse HTTP : cache-control: max-age=3600
- Configuration 2 : ajouter l'en-tête de réponse HTTP : cache-control: no-cache
Lorsque des conditions de règle sont appliquées, la correspondance dépend de la priorité des conditions, et non de l'ordre des configurations.

Le service CDN ne permet ni de supprimer ni de modifier les en-têtes de réponse réservés par le système, tels que Via et EagleId. Ces en-têtes servent à enregistrer des informations relatives aux nœuds CDN. Même si vous configurez une suppression ou une modification, celle-ci ne prend pas effet et le système conserve les informations du dernier nœud.
Après la modification des configurations d'en-têtes de réponse sortants, celles-ci prennent généralement effet sous 5 minutes. Il n'est pas nécessaire de précharger à nouveau les ressources (le préchargement ne modifie pas les en-têtes de réponse des ressources mises en cache).

Procédure

Connectez-vous à la console CDN.
Dans le volet de navigation de gauche, cliquez sur Domain Names.
Sur la page Domain Names, localisez le nom de domaine cible et cliquez sur Manage dans la colonne Actions.
Dans le volet de navigation du domaine, cliquez sur Cache.
Cliquez sur l'onglet Modify outbound response headers.

Cliquez sur Customize pour modifier les en-têtes de réponse sortants.

L'exemple suivant décrit comment ajouter un en-tête de réponse sortant.

Paramètre	Description
Operation	Ajoutez, supprimez, modifiez ou remplacez les en-têtes de réponse spécifiés.
Response Header	Sélectionnez un paramètre d'en-tête de réponse personnalisé. Pour plus d'informations, consultez la section Paramètres d'en-tête de réponse.
Header Name	Lorsque le paramètre d'en-tête de réponse personnalisé est défini sur Custom, vous devez configurer un nom d'en-tête de réponse personnalisé. Les exigences relatives aux noms d'en-têtes de réponse personnalisés sont les suivantes : Composé de lettres majuscules, de lettres minuscules, de traits d'union et de chiffres. Longueur comprise entre 1 et 100 caractères.
Header Value	Saisissez la valeur de l'en-tête de réponse que vous souhaitez définir. Pour plus d'informations, consultez la section Paramètres d'en-tête de réponse.
Allow Duplicates	Yes : conserve l'en-tête renvoyé par le serveur d'origine et ajoute un en-tête portant le même nom. No : l'en-tête renvoyé par le serveur d'origine est remplacé par le nouvel en-tête configuré portant le même nom.
CORS	La validation CORS est désactivée par défaut. Vous ne pouvez configurer la validation CORS que lorsque l'Operation est définie sur « Add » et que l'Response Header est défini sur « Access-Control-Allow-Origin ». Enable : lorsque la validation CORS est activée, les nœuds CDN valident les demandes inter-origines des utilisateurs selon les règles suivantes et répondent avec la valeur « Access-Control-Allow-Origin » en fonction du résultat de la validation. Disable : lorsque la validation CORS est désactivée, les nœuds CDN ne valident pas l'en-tête Origin inclus dans les demandes des utilisateurs et répondent uniquement avec la valeur Access-Control-Allow-Origin configurée. Pour connaître les règles de validation CORS, consultez la section Règles de validation CORS.
Rule Condition	Les conditions de règle permettent d'identifier divers paramètres inclus dans les demandes des utilisateurs afin de déterminer si une configuration s'applique à une demande donnée. Important Lorsque vous utilisez des conditions de règle, le système fait correspondre les règles en fonction de la priorité des conditions de règle associées, et non de l'ordre de configuration des fonctionnalités. Do not use : n'utilisez pas de conditions de règle. Pour ajouter ou modifier des conditions de règle, gérez-les dans le moteur de règles.

Cliquez sur OK pour terminer la configuration.

Une fois les en-têtes de réponse sortants modifiés avec succès, vous pouvez Modify ou Delete la configuration actuelle dans la liste des en-têtes de réponse sortants POP HTTP Response Header.

Exemple de configuration : configurer Cache-Control:no-cache pour les fichiers PDF

Si vous souhaitez que le client effectue une négociation de cache sur les fichiers PDF (vérifier auprès des nœuds CDN si les fichiers ont été mis à jour à chaque demande), utilisez le moteur de règles :

Lorsque vous Customize une configuration d'en-tête de réponse sortant, sélectionnez l'utilisation d'une Rule Condition.
Définissez la condition de correspondance de sorte que l'extension de fichier contienne .pdf.
Configurez l'action pour modifier les en-têtes de réponse sortants et ajoutez cache-control:no-cache.

Important

Cette configuration affecte uniquement les en-têtes de réponse que le service CDN renvoie au client et oblige le client à effectuer une négociation de cache, mais elle n'affecte pas la politique de mise en cache des nœuds CDN pour les fichiers PDF.

Règles de validation CORS

Important

Les éléments de configuration Allow Duplicates et CORS s'excluent mutuellement. Si Allow Duplicates est défini sur Yes, la validation CORS devient invalide.

Correspondance générique : si la valeur du paramètre d'en-tête de réponse personnalisé Access-Control-Allow-Origin est définie sur *, Access-Control-Allow-Origin:* est toujours renvoyé, indépendamment du fait que la demande de l'utilisateur inclue ou non le paramètre Origin et quelle que soit la valeur du paramètre Origin.
Correspondance exacte : la valeur du paramètre d'en-tête de réponse personnalisé Access-Control-Allow-Origin est définie sur une ou plusieurs valeurs (séparez plusieurs valeurs par ,).
- Si la valeur du paramètre Origin inclus dans l'en-tête de la demande de l'utilisateur correspond exactement à l'une des valeurs configurées, l'en-tête inter-origine correspondant est renvoyé.
- Si aucune correspondance exacte n'est trouvée, aucun en-tête inter-origine n'est renvoyé.
Correspondance de domaine générique : si la valeur du paramètre d'en-tête de réponse personnalisé Access-Control-Allow-Origin est définie sur un nom de domaine générique, le système valide si la valeur Origin dans l'en-tête de la demande correspond au nom de domaine générique de Access-Control-Allow-Origin.

Pour savoir comment configurer ces paramètres, consultez la rubrique Configurer le partage des ressources entre origines.

Paramètres d'en-tête de réponse

Paramètre d'en-tête de réponse	Description	Exemple
Custom	Vous pouvez ajouter des en-têtes de réponse personnalisés. Les exigences relatives aux noms d'en-têtes de réponse personnalisés sont les suivantes : Composé de lettres majuscules, de lettres minuscules, de traits d'union et de chiffres. Longueur comprise entre 1 et 100 caractères.	Test-Header
Cache-Control	Spécifie le mécanisme de mise en cache que les demandes et les réponses du programme client doivent respecter.	no-cache
Content-Disposition	Spécifie le nom de fichier par défaut fourni lorsque le programme client enregistre le contenu obtenu à partir d'une demande sous forme de fichier.	examplefile.txt
Content-Type	Spécifie le type de contenu de l'objet de réponse du programme client.	text/plain
Pragma	Pragma est un en-tête général spécifié dans HTTP/1,0. Cet en-tête est généralement utilisé dans les réponses du serveur pour définir le comportement de mise en cache du client pour les fichiers.	no-cache
Access-Control-Allow-Origin	`Access-Control-Allow-Origin` est un en-tête de réponse HTTP utilisé pour indiquer quelles origines peuvent accéder aux ressources. Il fait partie du mécanisme de partage des ressources entre origines (CORS), qui permet aux serveurs de déclarer si leurs ressources peuvent être accessibles par une origine spécifique (nom de domaine). La valeur de cet en-tête de réponse prend en charge les types suivants : Générique `` : le caractère générique indique que les ressources peuvent être accessibles depuis n'importe quelle origine. Cette méthode est très permissive et convient aux ressources publiques accessibles sans authentification ni autorisation. Toutefois, faites preuve de prudence lors de l'utilisation de caractères génériques dans les environnements de production, car ils peuvent présenter des risques de sécurité, tels que la lecture des données de réponse API par des scripts provenant de sites malveillants. Origine unique spécifique* : vous pouvez spécifier une origine spécifique (nom de domaine) pour indiquer que seule cette origine peut accéder aux ressources. Par exemple, `http://example.com` ou `https://api.example.com`. Cela exige que les demandes proviennent de l'origine spécifiée. Sinon, les demandes sont rejetées.	* http://www.aliyun.com
Access-Control-Allow-Methods	Spécifie les méthodes de demande inter-origine autorisées. Séparez plusieurs méthodes par des virgules (`,`).	POST,GET
Access-Control-Allow-Headers	Spécifie les champs de demande inter-origine autorisés.	X-Custom-Header
Access-Control-Expose-Headers	Spécifie les informations d'en-tête personnalisées auxquelles il est possible d'accéder.	Content-Length
Access-Control-Allow-Credentials	Indique si la réponse à une demande peut être exposée à la page. Si true est renvoyé, la réponse peut être exposée. Si une autre valeur est renvoyée, la réponse ne peut pas être exposée.	true
Access-Control-Max-Age	Spécifie la durée de mise en cache du résultat de la demande préalable pour une ressource spécifique du programme client. Unité : secondes.	600
Content-Security-Policy	Configure une stratégie de sécurité du contenu (CSP) pour contrôler les ressources qu'une page peut charger et se défendre contre les menaces de sécurité telles que les attaques XSS et l'injection de données. Le service CDN n'effectue pas de validation sémantique du contenu de la stratégie CSP et valide uniquement le format de base de l'en-tête de réponse HTTP. Le contenu de la stratégie doit être une chaîne sur une seule ligne et ne peut pas contenir de sauts de ligne, de caractères de contrôle invalides ou de guillemets non échappés. N'incluez pas les guillemets doubles externes. Nous vous recommandons de vérifier la stratégie dans les outils de développement du navigateur avant de la saisir, ou de configurer la CSP sur le serveur d'origine afin que le service CDN la transmette telle quelle.	default-src 'self'; script-src 'self' 'unsafe-inline'
Permissions-Policy	Configure des stratégies d'autorisations pour contrôler les droits d'accès à certaines fonctionnalités du navigateur, telles que la caméra, le microphone et la géolocalisation.	camera=(), microphone=()

Remarque

La valeur de l'en-tête de réponse peut être définie sur *, ce qui indique n'importe quelle origine.
Si la valeur de l'en-tête de réponse n'est pas *, vous pouvez configurer une ou plusieurs adresses IP, un ou plusieurs noms de domaine, ou une combinaison d'adresses IP et de noms de domaine. Séparez-les par des virgules (,).
Si la valeur de l'en-tête de réponse n'est pas *, la valeur doit contenir l'en-tête de protocole http:// ou https://.
La valeur de l'en-tête de réponse peut contenir des ports.
La valeur de l'en-tête de réponse prend en charge les noms de domaine génériques.

Différences entre les en-têtes de réponse sortants et entrants

Les en-têtes de réponse sortants et entrants s'appliquent à différentes étapes du processus de mise en cache. Avant de configurer un en-tête de réponse, identifiez l'objet cible :

En-têtes de réponse sortants (en-têtes de réponse HTTP du nœud) : en-têtes de réponse envoyés des nœuds CDN aux clients, tels que les navigateurs. Si un nœud a mis du contenu en cache, il renvoie directement le contenu au client sans interroger le serveur d'origine. Ce type d'en-tête de réponse sert à contrôler le comportement de mise en cache entre le client et le nœud CDN.
En-têtes de réponse entrants (en-têtes de réponse HTTP de récupération depuis l'origine) : en-têtes de réponse envoyés du serveur d'origine aux nœuds CDN. Lorsque le cache d'un nœud expire ou en cas d'absence de cache, le nœud demande le contenu le plus récent au serveur d'origine. Les en-têtes renvoyés par le serveur d'origine sont des en-têtes de réponse entrants. Ce type d'en-tête de réponse sert à contrôler le comportement de mise en cache entre le serveur d'origine et le nœud CDN.

Remarque

Les modifications apportées aux en-têtes de réponse entrants (telles que la modification du champ de domaine de Set-Cookie) affectent uniquement la communication entre le serveur d'origine et les nœuds CDN, et les utilisateurs finaux ne remarquent pas ces modifications. Pour influencer les réponses reçues par les utilisateurs finaux, configurez des en-têtes de réponse sortants. Si les en-têtes de réponse sortants ne prennent toujours pas effet, nous vous recommandons de modifier les en-têtes de réponse sur le serveur d'origine.

Configuration groupée pour plusieurs noms de domaine

Les configurations d'en-têtes de réponse sortants peuvent être ajoutées à plusieurs noms de domaine par lot. Vous pouvez appeler l'opération API BatchSetCdnDomainConfig pour configurer les noms de domaine par lot et définir les règles d'ajout d'en-têtes de réponse à l'aide des paramètres de fonction de l'opération.

Délai de prise d'effet des configurations

Les configurations prennent généralement effet sous 5 minutes. Avant qu'une configuration ne prenne effet, son statut s'affiche comme Configuring, ce qui est normal.

FAQ

Pour savoir comment résoudre les problèmes tels que les configurations d'en-têtes de réponse qui ne prennent pas effet, consultez le guide de dépannage du cache.