HTTP Заголовки

Правила для HTTP заголовков позволяют добавлять, изменять или удалять заголовки в HTTP ответах. Используется для безопасности, кэширования и SEO.

Зачем нужны заголовки

Цель	Примеры заголовков
Безопасность	X-Frame-Options, CSP, HSTS
Кэширование	Cache-Control, ETag
SEO	X-Robots-Tag
CORS	Access-Control-Allow-Origin
Производительность	X-Content-Type-Options

Pre-configured заголовки

ONREZA автоматически добавляет ряд security заголовков ко всем ответам:

Заголовок	Значение	Назначение
X-Content-Type-Options	nosniff	Предотвращает MIME sniffing
X-Frame-Options	DENY	Защита от clickjacking
Referrer-Policy	strict-origin-when-cross-origin	Контроль Referrer
Strict-Transport-Security	max-age=31536000; includeSubDomains	HTTPS only
X-Robots-Tag	index, follow	Разрешение индексации

Совет

Эти заголовки нельзя удалить, но можно переопределить через правила с более специфичным pattern.

Добавление заголовков

1. Откройте Project → Settings → Routing Rules
2. Переключитесь на вкладку Headers
3. Нажмите Add Header
4. Заполните:
   • Pattern: путь (например, /* или /api/*)
   • Header Name: имя заголовка
   • Header Value: значение заголовка
5. Сохраните

Распространённые сценарии

Content Security Policy

Pattern	Header	Value
/*	Content-Security-Policy	default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline';

Кэширование static assets

Pattern	Header	Value
/_astro/*	Cache-Control	public, max-age=31536000, immutable
/assets/*	Cache-Control	public, max-age=31536000, immutable

CORS для API

Pattern	Header	Value
/api/*	Access-Control-Allow-Origin	https://mydomain.com
/api/*	Access-Control-Allow-Credentials	true
/api/*	Access-Control-Allow-Methods	GET, POST, PUT, DELETE, OPTIONS
/api/*	Access-Control-Allow-Headers	Content-Type, Authorization

Блокировка индексации

Pattern	Header	Value
/admin/*	X-Robots-Tag	noindex, nofollow
/draft/*	X-Robots-Tag	noindex, nofollow

Приоритет заголовков

При конфликте заголовков применяется более специфичный pattern:

/*                    → Cache-Control: public
/api/*               → Cache-Control: no-cache (применится для /api/)

Удаление заголовков

1. Project → Settings → Routing Rules → Headers
2. Найдите правило
3. Нажмите Delete

Заметка

Добавление custom headers доступно только на плане Pro.

Заголовки в astro.config.mjs

Astro-проекты могут задавать заголовки через конфигурацию (только dev mode):

astro.config.mjs

export default defineConfig({
  server: {
    headers: {
      'X-Custom-Header': 'value',
    },
  },
});

Заметка

В production заголовки управляются через ONREZA routing rules, а не через конфиг Astro.

Проверка заголовков

Проверьте заголовки через браузер (DevTools → Network → выберите запрос → Headers) или утилиту curl:

curl -I https://myproject-workspace.onreza.app

Troubleshooting

Заголовок не применяется

1. Проверьте что pattern соответствует запрашиваемому пути
2. Проверьте что нет конфликтующего правила с более высоким приоритетом
3. Дождитесь применения изменений (до 30 секунд)

HSTS не работает

Заголовок Strict-Transport-Security применяется только для HTTPS запросов. Убедитесь что:

• Сайт доступен по HTTPS
• Нет mixed content

См. также

• Routing Rules — общая документация
• Redirects — перенаправления
• Rewrites — переписывание путей
• MDN: HTTP Headers — справка по заголовкам