Cours Protocole HTTP en PDF (Intermédiaire)

Protocole HTTP — méthodes GET et POST : points essentiels. HTTP (HyperText Transfer Protocol) formalise l'échange de requêtes et de réponses entre un client (navigateur) et un serveur web. Il définit la syntaxe de la ligne de requête, des en-têtes et du corps, ainsi que le comportement attendu pour chaque méthode (GET, POST, HEAD, etc.). Le support original contient des exemples pratiques (telnet, PHP/CGI) et des exercices téléchargeables.

🎯 Ce que vous allez apprendre

Format d'une URL et rôle des arguments

Structure générale : proto://host:port/path?arguments. Les paramètres après le signe ? transmettent des paires clé/valeur au serveur (query string). Identifier où les données sont encodées permet de comprendre comment les scripts CGI ou PHP extraient et valident ces valeurs avant traitement.

Structure d'une requête et d'une réponse HTTP

Une requête brute se compose d'une ligne de requête (méthode, URI, version), d'en-têtes multi‑ligne, d'une ligne vide, puis éventuellement d'un corps. La réponse contient un en-tête avec code d'état suivi du corps. Savoir lire une requête HTTP brute aide au diagnostic de la négociation de contenu et des problèmes d'encodage.

Méthodes GET, POST et HEAD (distinctions et conséquences)

GET récupère une représentation et expose les paramètres dans l'URI ; POST soumet une entité au serveur et peut entraîner des effets côté serveur ; HEAD renvoie uniquement les en-têtes sans corps. Ces choix influent sur l'idempotence, la visibilité des paramètres et la taille des données. En PHP, on accède aux valeurs via $_GET ou $_POST. Les méthodes PUT et DELETE sont courantes dans les API REST pour mise à jour ou suppression de ressources.

Comparatif des méthodes de requête HTTP

Le tableau suivant synthétise les caractéristiques sémantiques et l'usage recommandé pour les méthodes HTTP les plus courantes. Il facilite le choix entre sécurité, idempotence et cas d'utilisation (récupération, création, modification, suppression).

Suivi de session

HTTP est sans état : chaque requête est indépendante. Pour reconstituer l'état utilisateur, on utilise des mécanismes côté client et côté serveur. Les en-têtes Set-Cookie/Cookie restent la solution la plus courante pour matérialiser une session (identifiant stocké en cookie). Les champs cachés (<input type="hidden">) permettent de propager un identifiant entre formulaires lorsque les cookies ne sont pas disponibles. Les jetons (tokens) transmis dans les en-têtes Authorization offrent une alternative pour les API. Ces techniques interviennent dans la négociation de contenu et doivent être prises en compte dans tout tutoriel HTTP ou diagnostic d'une requête HTTP brute afin d'assurer intégrité et confidentialité.

Différence de sécurité entre GET et POST : les paramètres passés par GET apparaissent dans l'URL, sont enregistrés dans les historiques, journaux serveur et caches intermédiaires, et doivent donc éviter toute donnée sensible (mots de passe, jetons). Les données envoyées en POST se trouvent dans le corps de la requête, ce qui réduit leur exposition dans les traces URL, mais n'assure pas la confidentialité si la connexion n'est pas chiffrée. Dans les deux cas, la validation côté serveur, l'échappement des entrées et l'utilisation systématique de HTTPS sont indispensables pour limiter les risques d'injection et d'interception.

Sécurité et bonnes pratiques HTTP

• Valider et échapper toute donnée provenant du client pour prévenir les injections (XSS, SQL, commandes).
• Ne jamais transmettre d'identifiants ou de données sensibles dans une URL ; préférer le corps de la requête et HTTPS.
• Protéger les formulaires contre le CSRF à l'aide de tokens synchronisés ou en-têtes spécifiques.
• Configurer les cookies avec les attributs Secure, HttpOnly et SameSite pour limiter l'accès par scripts et les fuites via requêtes cross-site.
• Forcer l'utilisation de TLS (HTTPS) et activer des en-têtes de sécurité (CSP, HSTS, X-Content-Type-Options).
• Limiter les informations divulguées dans les messages d'erreur et journaliser de façon contrôlée pour préserver la confidentialité.

Sécurité des méthodes HTTP : GET vs POST

La principale différence réside dans la visibilité et la persistance des paramètres : GET encode les paramètres dans l'URI, exposant ces valeurs dans l'historique du navigateur, les logs et les caches, alors que POST place les données dans le corps de la requête. Pour la sécurité des formulaires et des API, évitez d'envoyer des secrets via GET. Même avec POST, la sécurité dépend des mesures complémentaires : validation des entrées, limitation des tailles, protections contre le cross-site scripting et le cross-site request forgery, et transport chiffré. Le choix entre méthodes doit aussi prendre en compte l'idempotence et les attentes sémantiques côté serveur.

HTTP dans les API REST : PUT et DELETE

Dans les API REST, PUT sert généralement à remplacer ou créer une ressource à un URI connu, tandis que DELETE supprime la ressource identifiée. Le recours à ces méthodes améliore la clarté sémantique, facilite la conception d'API REST HTTP et la gestion des états par des clients RESTful. Pour garantir des requêtes HTTP sécurisées, appliquer une authentification forte, des autorisations granulaires et la validation stricte des payloads JSON. Lors du développement, le débogage HTTP s'effectue via outils (curl, DevTools, proxys) en vérifiant en-têtes, codes d'état et corps de réponse pour diagnostiquer comportements inattendus.

Programmation CGI et interaction serveur

Modèle CGI : format d'entrée/sortie, variables d'environnement et gestion des en-têtes. Les exemples PDF (PHP) montrent comment récupérer $_SERVER['REQUEST_URI'], traiter des paramètres encodés et générer des réponses dynamiques.

Les codes d'état HTTP : comprendre les réponses serveur

Les codes d'état indiquent le résultat d'une requête et permettent de guider le traitement côté client et serveur. Ils figurent dans l'en-tête de réponse et sont essentiels pour diagnostiquer un échange client‑serveur.

Codes d'état HTTP essentiels

• 200 OK — la requête a réussi et la réponse contient la ressource ou le résultat attendu.
• 404 Not Found — la ressource demandée est introuvable; vérifier l'URI ou le routage.
• 500 Internal Server Error — erreur côté serveur; consulter les logs et la pile d'appels pour diagnostiquer.

Exemples de requêtes HTTP

Exemples de requêtes brutes illustrant la structure minimale d'une demande GET et d'une POST avec en-têtes usuels. Ces fragments sont conçus pour être reproduits via telnet ou dans un captureur de trafic pour apprentissage.

GET /index.html?lang=fr HTTP/1.1
Host: example.com
User-Agent: curl/7.79.1
Accept: text/html

POST /submit.php HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 29

field1=valeur1&field2=valeur2

📑 Sommaire du document

• Cours Protocole HTTP en PDF (Intermédiaire)

💡 Pourquoi choisir ce cours ?

Rédigé par Olivier Glück (Université Lyon 1), ce support pédagogique combine exposés techniques et démonstrations pratiques : requêtes HTTP brutes, captures via outils de développement (DevTools) et extraits de code PHP/CGI. Progression didactique du format des URL aux techniques de maintien d'état, avec exemples exploitables (telnet, DevTools, scripts PHP) pour faciliter la mise en pratique.

👤 À qui s'adresse ce cours ?

• Public cible : étudiants en licence informatique, développeurs web découvrant l'architecture client/serveur, administrateurs web souhaitant analyser les échanges au niveau protocole.
• Prérequis : notions de HTML, bases de TCP/IP (ports, sockets) et familiarité minimale avec un langage serveur (PHP ou équivalent) ainsi que l'utilisation d'outils en ligne de commande (telnet).

❓ Foire Aux Questions (FAQ)

Comment compenser le caractère sans état d'HTTP pour maintenir une session utilisateur ? Consulter la section « Suivi de session » ci‑dessus pour les méthodes courantes : cookies, champs cachés, et jetons d'authentification transmis dans les en-têtes. Pour approfondir vos compétences, vous pouvez consulter notre Cours HTML/CSS/JavaScript en PDF (Intermédiaire) ou explorer le Cours de Dev Web Côté Serveur en PDF (Avancé).