En-tête Sec-Private-State-Token

L'en-tête HTTP Sec-Private-State-Token existe à la fois en tant qu'en-tête de requête et en tant qu'en-tête de réponse. Il est utilisé par l'API Private State Token lors des requêtes d'émission et d'échange pour transmettre les données de requête et de réponse.

Lors des requêtes d'émission de jetons, l'en-tête de requête Sec-Private-State-Token contient une collection de nombres uniques non signés et masqués nécessaires pour générer un jeton d'état privé pour le serveur émetteur. Une réponse réussie doit inclure un en-tête de réponse Sec-Private-State-Token contenant des signatures masquées, que le navigateur démasque ensuite et stocke avec les nombres uniques originaux non masqués dans un magasin de jetons sécurisé.

Lors des requêtes d'échange de jetons, l'en-tête de requête Sec-Private-State-Token contient un jeton unique signé et non masqué ainsi que les métadonnées d'échange associées. Une réponse réussie doit inclure un en-tête de réponse Sec-Private-State-Token contenant un enregistrement d'échange signé, qui est à nouveau stocké de manière sécurisée par le navigateur.

Notez qu'un·e développeur·euse n'est pas censé·e générer des en-têtes de requête Sec-Private-State-Token — ceux-ci sont créés automatiquement par le navigateur lors de l'invocation des requêtes fetch token-request et token-redemption de l'API Private State Token.