Kod odpowiedzi HTTP

Kod odpowiedzi HTTP (ang. HTTP status code) to parametr monitoringu stron internetowych, który rejestruje trzycyfrowy kod zwrócony przez serwer w odpowiedzi na żądanie sondy i na jego podstawie przypisuje stronie stan: poprawna odpowiedź (200 OK), błąd serwera (klasa 5xx), nieoczekiwane przekierowanie (klasa 3xx) albo odmowa dostępu lub brak zasobu (klasa 4xx) ^[1]. Kod z klasy 2xx nie gwarantuje jednak, że zwrócona treść jest poprawna ^[5].

Jak działa

Specyfikacja HTTP definiuje kod stanu jako trzycyfrową liczbę całkowitą, której pierwsza cyfra wyznacza klasę odpowiedzi ^[1]. Klas jest pięć: 1xx (informacyjne, żądanie odebrano i przetwarzanie trwa), 2xx (powodzenie), 3xx (przekierowanie, potrzebne jest dalsze działanie), 4xx (błąd klienta) oraz 5xx (serwer nie zdołał obsłużyć poprawnego żądania) ^{[1] [4]}. Klient, który nie rozpoznaje konkretnego kodu, powinien traktować go jak kod x00 z tej samej klasy ^[1].

Między sondą a aplikacją często działa pośrednik: sieć CDN, odwrotne proxy lub bramka. Kod może wtedy pochodzić z innej warstwy niż sama aplikacja. Według RFC 9110 kod 502 oznacza, że brama lub proxy otrzymała nieprawidłową odpowiedź od serwera, do którego przekazała żądanie, a 504, że nie otrzymała odpowiedzi w wymaganym czasie ^[1].

RYS. 1.1Błąd PHP widziany przez pośrednika

Sam kod nie wystarcza do oceny, czy strona działa. Dokumentacja WordPressa opisuje sytuację, w której błędy PHP lub bazy danych kończą się pustym ekranem bez żadnej informacji, nazywanym białym ekranem śmierci (WSOD) ^[6]. Google oznacza jako „soft 404” adresy, które zwracają kod z klasy 2xx, a ich treść wskazuje na błąd, na przykład pustą stronę lub komunikat o błędzie; kod 2xx nie gwarantuje też indeksowania ^[5]. Z tego powodu kod odpowiedzi uzupełnia się osobnym parametrem weryfikującym treść strony.

RYS. 1.2Klasyfikacja kodu odpowiedzi

Standardy i specyfikacje

Znaczenie kodów definiuje RFC 9110 (HTTP Semantics), a oficjalny wykaz prowadzi IANA w rejestrze „Hypertext Transfer Protocol (HTTP) Status Code Registry”; nowe wpisy przechodzą procedurę IETF Review ^[3]. Kod 429 Too Many Requests wprowadził RFC 6585 z kwietnia 2012 roku. Oznacza on, że użytkownik wysłał zbyt wiele żądań w określonym czasie, a odpowiedź może zawierać nagłówek Retry-After; specyfikacja nie określa, jak serwer identyfikuje użytkownika ani jak liczy żądania ^[2].

Z punktu widzenia monitoringu najważniejsze są następujące kody:

• 200 OK: treść odpowiedzi jest reprezentacją żądanego zasobu ^[1].
• 301 i 308: przekierowania trwałe; 302 i 307: tymczasowe. Kody 307 i 308 zachowują metodę żądania ^[1]. Roboty Google podążają za najwyżej 10 kolejnymi przekierowaniami, trwałe traktują jako silny sygnał, a tymczasowe jako słaby ^[5].
• 403 Forbidden: serwer odmawia obsłużenia żądania; 404 Not Found: serwer nie znalazł zasobu ^[1]. Serwer może też odpowiedzieć 404 zamiast 403, aby ukryć istnienie zasobu ^[4].
• 500 Internal Server Error: ogólny błąd serwera ^[1].
• 502 Bad Gateway i 504 Gateway Timeout: błędy pośrednika opisane wyżej ^[1].
• 503 Service Unavailable: chwilowe przeciążenie lub planowana konserwacja. Serwer może wysłać Retry-After z datą HTTP albo liczbą sekund ^[1]. Takich odpowiedzi zwykle nie należy buforować ^[4].

Cloudflare zwraca własne kody z zakresu 52x, między innymi 520 (serwer WWW zwrócił nieznany błąd), 521 (serwer WWW nie działa), 522 (przekroczony czas połączenia), 524 (przekroczony czas oczekiwania), 525 (nieudane uzgadnianie SSL) i 526 (nieprawidłowy certyfikat SSL) ^[9]. Nie są to kody standardowe: w rejestrze IANA zakres 512–599 pozostaje nieprzydzielony ^[3], więc klient, który ich nie zna, potraktuje je jak 500 ^[1].

Zagrożenia i skutki

Awaria aplikacji. Po błędzie krytycznym PHP WordPress wyświetla komunikat „There has been a critical error on this website” i kończy działanie funkcją wp_die() z kodem 500. Gdy witryna przechodzi w tryb odzyskiwania (recovery mode), komunikat o tym informuje, a w instalacji z jedną witryną odsyła do skrzynki e-mail administratora ^[7]. Wśród przyczyn błędów krytycznych dokumentacja wymienia konflikty wtyczek, niezgodność motywu lub wersji PHP, limity pamięci i uszkodzone pliki, a jako najczęstszą przyczynę błędu „Internal Server Error” uszkodzony plik .htaccess ^[6].

Konserwacja podczas aktualizacji. Po aktualizacji odwiedzający mogą zobaczyć komunikat „Briefly unavailable for scheduled maintenance”, który pozostaje, gdy plik .maintenance nie zostanie usunięty z katalogu głównego witryny ^[6]. Funkcja wp_maintenance() wysyła ten komunikat z kodem 503 i nagłówkiem Retry-After: 600 ^[8].

Widoczność w wyszukiwarce. Kody 5xx oraz 429 powodują, że roboty Google tymczasowo spowalniają pobieranie stron; kod 429 jest traktowany jako sygnał przeciążenia serwera, czyli błąd serwera. Adresy, które trwale zwracają błąd serwera, są usuwane z indeksu, a treści z adresów zwracających kody 4xx Google nie wykorzystuje ^[5].

Fałszywe alarmy. Zapory aplikacyjne (WAF) odmawiają dostępu żądaniom pasującym do reguł, co może dotyczyć także sond monitoringu. W Cloudflare akcja Block zwraca domyślnie kod 403, a w regułach ograniczania liczby żądań kod 429; od planu Pro kod odpowiedzi można zmienić. Wyzwanie JavaScript ma zatrzymywać boty, podczas gdy przeglądarki mogą je rozwiązać automatycznie ^[10]. Kod 403 lub 429 otrzymany przez sondę nie oznacza więc sam w sobie, że strona jest niedostępna dla odwiedzających.

Przykłady

Kod	Znaczenie wg RFC	Typowa przyczyna na stronie WordPress
200	żądanie obsłużone, treść reprezentuje zasób [1]	strona działa; treść może mimo to wskazywać błąd (soft 404) [5]
301 / 308	przekierowanie trwałe [1]	trwałe przeniesienie adresu, dla Google silny sygnał [5]
302 / 307	przekierowanie tymczasowe [1]	tymczasowe przeniesienie adresu, dla Google słaby sygnał [5]
403	serwer odmawia obsłużenia żądania [1]	blokada żądania przez WAF (akcja Block) [10]
404	serwer nie znalazł zasobu [1]	adres nie istnieje albo serwer ukrywa zasób zamiast 403 [4]
429	zbyt wiele żądań w określonym czasie [2]	reguła ograniczania liczby żądań w WAF [10]
500	ogólny błąd serwera [1]	błąd krytyczny PHP [7], uszkodzony .htaccess [6]
502	pośrednik otrzymał nieprawidłową odpowiedź [1]	serwer za proxy lub CDN zwrócił niepoprawną odpowiedź [1]
503	chwilowe przeciążenie lub konserwacja [1]	aktualizacja z plikiem .maintenance [6], Retry-After: 600 [8]
504	pośrednik nie otrzymał odpowiedzi na czas [1]	serwer za proxy lub CDN odpowiada zbyt wolno [1]
520–526	brak w RFC 9110 i w rejestrze IANA [3]	kody Cloudflare, np. serwer WWW nie działa lub przekroczony czas [9]