HTTP

Historia

Ensimmäinen HTTP:n dokumentoitu versio julkaistiin vuonna 1991 versionumerolla 0.9 joka tuki pelkästään GET-pyyntöä. Versio 1.0 julkaistiin 1996, jonka parannuksiin kuuluu tuki meta-tiedon haulle sekä paranneltuja tietoturvaominaisuuksia. 1997 julkaistiin HTTP 1.1, joka sai heti seuraavana vuonna päivityksen samalla versionumerolla. Internet Engineering Task Forcen (IETF) HTTP-työryhmä julkaisi HTTP/2:n (työnimellä HTTP 2.0) vuoden 2015 alussa (RFC 7540). QUIC-protokollan suunnitellaan korvaavan HTTP:n jatkossa.

Sivun hakeminen

Selain lähettää palvelimelle GET-pyynnön, johon palvelin vastaa.
Esimerkki pyynnöstä (tältä sivulta):
 GET ''/wiki/HTTP HTTP/1.1''
 Host: fi.wikipedia.org
 User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; fi-FI; rv:1.6) Gecko/20040206 Firefox/0.8
 Accept: application/x-shockwave-flash,text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,video/x-mng,image/png,image/jpeg,image/gif;q=0.2,*/*;q=0.1
 Accept-Language: fi,en;q=0.7,en-us;q=0.3
 Accept-Encoding: gzip,deflate
 Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
 Keep-Alive: 300
 Proxy-Connection: keep-alive
 Referer: ''http'':''//fi.wikipedia.org/w/wiki.phtml?title=HTTP''
 Cache-Control: max-age=0
Kentällä Referer selain kertoo sivulle, minkä sivun kautta kyseiselle sivulle on päädytty. Esimerkiksi palvelimelle kerrotaan, millä hakukoneen haulla sivulle on päädytty ellei sitä erikseen ole selaimen asetuksissa kielletty. Selain kertoo myös palvelimelle nimensä ja versionsa. Muut tiedot ovat lähinnä teknisiä ja kertovat minkä muotoisia tiedostoja selain osaa käsitellä ja millä kielellä käyttäjä mieluiten haluaisi sivua lukea.
Vanhempi HTTP 1.0 -protokolla vaati vain itse pyynnön, mutta HTTP 1.1 -protokollassa on määritettävä myös Host-otsake, joka kertoo palvelimen, johon selain uskoo ottavansa yhteyttä. Täten oikeasti saman IP-osoitteen takaa voikin löytyä useita www-sivuja, jotka palvelin lähettää aina kulloisenkin annetun host-otsakkeen perusteella. Tällaisia palvelimia kutsutaan WWW-näennäispalvelimiksi.

Vastaus

HTTP/1.1 200 OK
 Date: Tue, 06 Jul 2004 17:59:22 GMT
 Expires: Thu, 01 Jan 1970 00:00:00 GMT
 Cache-Control: private, must-revalidate
 Via: 1.0 cthulhu
 Server: Apache/1.3.29 (Unix) PHP/4.3.4
 X-Powered-By: PHP/4.3.4
 Set-Cookie: fiwikiSession=a8015bd32eee4e5bd46fd83aea40f159; path=/
 Vary: Accept-Encoding,Cookie
 Content-Language: fi
 Content-Type: text/html; charset=utf-8
 X-Cache: MISS from wikipedia.org
 Transfer-Encoding: chunked
 Connection: keep-alive
Nämä ovat HTTP-protokollaan liittyvät otsikkotiedot (headers). Otsikot päättyvät kahteen rivinvaihtoon (tai tyhjään riviin). Tämän jälkeen palvelin lähettää varsinaisen näytettävän sisällön (text/html on MIME-tyyppi, joka kertoo sisällön olevan tässä tapauksessa HTML:ää). Selain poimii HTML-sisällöstä myös kuvien tiedostonimet ja hakee ne samanlaisilla pyynnöillä. Selain näyttää HTML-sivun ruudulla heti saatuaan sen, ja alkaa täyttää kuville asetettuja raameja ladattuaan nekin.
Vastauksessa pyyntöön välitetään ensimmäisen status-koodi (tässä 200), joka kertoo pyynnön onnistumisesta tai virheestä. Muita tietoja ovat sivun ikä ja voimassaoloaika, palvelinohjelmiston nimi ja versionumero, sekä välitetyn dokumentin tyyppi (tässä HTML, UTF-8-merkistökoodauksella) ja kieli (suomi). Sivun Expires-kenttänä (voimassaoloaika) on Unix-järjestelmän ajan alkuhetki vuonna 1970, mikä tarkoittaa, että sivu vanhenee välittömästi, eikä sitä pidä tallentaa välipalvelimeen uudelleen käytettäväksi. Tähän voi olla useita syitä. Esimerkiksi pyyntö oli sivun muokkausta varten, eikä vanhentuneen sisällön käsittely enää tulevaisuudessa ole järkevää tai käyttäjä voi olla kirjautunut tunnuksellaan, jolloin sivua ei voi näyttää muille käyttäjille. Kenttä Cache-Control kertoo saman.
Kenttä Set-Cookie asettaa selaimelle evästeen (cookie), jonka se palauttaa palvelimelle seuraavan pyynnön yhteydessä.

Istunnot

HTTP on normaalisti tilaton. Tämä tarkoittaa, ettei seuraavan pyynnön tulos riipu mitenkään edellisen tuloksesta ja kaikki asiakkaat saavat saman tuloksen samalla pyynnöllä. Tämä on kuitenkin melko rajoitettua, koska esimerkiksi verkkokaupan ostoskori tai kirjautuminen käyttäjätunnuksella foorumille olisivat mahdottomia tilattomalla protokollalla.
Käyttäjien istuntojen (session) toteuttamiseen HTTP:ssä on useita keinoja. Luotettavimmat näistä liittyvät evästeiden (cookie) käyttöön. Tällöin palvelin asettaa asiakasohjelmalle evästeen Set-Cookie-kentällä pyynnön yhteydessä. Vastaavasti palvelimelle luodaan ja pidetään muistissa istuntoon liittyvä tieto. Istunnon voisi muodostaa luottamalla pelkästään evästeiden välittämään tietoon, mutta tämä on usein hankalaa ja mahdollisesti tietoturvariski. Tietoturvan ylläpitämiseksi istunto sidotaan myös käyttäjän IP-osoitteeseen, johon luottaminen ainoana istunnon tunnisteena on epävarmaa (mm. siksi, että usea eri käyttäjä voi hakea sivuja saman IP-osoitteen takaa. Katso osoitteenmuunnos) Myös evästeisiin luottaminen on suhteellisen epävarmaa, koska niille varattu tila on rajattu ja monet käyttäjät estävät ainakin epämääräisten evästeiden käytön. Istuntoon liittyvä tilatieto voidaan välittää myös URL:n yhteydessä parametrina, mutta sekin on ongelmallista väärin toteutettuna. Vastaavasti palvelimen kapasiteetti on rajallinen, joten vanhoja ja käyttämättömiä istuntoja on siivottava pois tietyin väliajoin, mikä saa liian kauan käyttämättömä olevan istunnon katkeamaan.