Hoe het web werkt: HTTP

Voordat je zelf een webserver bouwt, moet je weten wat er tussen browser en server heen en weer gaat. Dat is HTTP: een eenvoudig tekstprotocol van verzoeken (requests) en antwoorden (responses). Als je HTTP begrijpt, zijn routing, statuscodes, cookies en API's in de rest van de cursus geen magie meer. In deze les ontleed je requests en responses, en onderzoek je ze met de devtools en met curl.

Request en response

Je typt https://www.dekorrel.nl/menu in de adresbalk. Er gebeurt dit:

1. De browser zoekt via DNS het IP-adres van www.dekorrel.nl op.
2. Hij maakt een verbinding met de server (bij https versleuteld met TLS).
3. Hij stuurt een request.
4. De server stuurt een response.
5. Staan er in de HTML verwijzingen naar CSS, scripts of afbeeldingen, dan volgt voor elk een nieuw request.

Elk request staat op zichzelf: HTTP is stateless. De server onthoudt niets tussen twee requests, tenzij je daar zelf iets voor regelt (cookies, les 18).

Een request ontleed

GET /menu/2 HTTP/1.1
Host: localhost:5268
User-Agent: curl/8.14.1
Accept: */*

Een response ontleed

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Date: Mon, 12 Oct 2026 22:50:52 GMT
Server: Kestrel
Transfer-Encoding: chunked

{"id":2,"naam":"Frikandel","categorie":"snack","prijs":2.40}

De eerste regel bevat de statuscode (200) en een korte omschrijving (OK). Content-Type zegt wat voor gegevens er in de body staan, zodat de ontvanger weet hoe hij ze moet lezen. Kestrel is de webserver die in ASP.NET Core zit; die ga je in les 06 zelf starten.

Methodes

* Veilig: verandert niets op de server. Daarom mag een browser of zoekmachine een GET altijd herhalen of vooraf ophalen. ** Idempotent: twee keer hetzelfde request heeft hetzelfde effect als één keer. Twee keer DELETE /menu/3 laat item 3 weg; twee keer POST /menu maakt twee items. *** Kan idempotent zijn, maar dat is niet gegarandeerd.

Statuscodes

Het eerste cijfer zegt het meest:

Een goede API geeft de juiste code, zodat een client zonder de tekst te lezen weet wat er aan de hand is. 200 OK met in de body {"fout": "niet gevonden"} is verwarrend; geef dan 404.

Belangrijke headers

Inspecteren met de devtools

Open in de browser de devtools (F12), tabblad Network, en laad een pagina. Je ziet elk request met methode, status, type, grootte en tijd. Klik op een regel voor Headers (request en response), Preview/Response (de body) en Timing. Zet Preserve log aan om requests te bewaren als de pagina doorstuurt.

Inspecteren met curl

curl stuurt requests vanaf de opdrachtregel. Het staat standaard op macOS, Linux en Windows 10/11.

curl https://example.com                 # alleen de body
curl -i https://example.com              # met response-headers
curl -v https://example.com              # alles: ook het request (regels met >) en de response (<)
curl -I https://example.com              # alleen de headers (HEAD-request)

Een POST met JSON:

curl -i -X POST http://localhost:5268/menu \
  -H "Content-Type: application/json" \
  -d '{"naam":"Kaassoufflé","categorie":"snack","prijs":2.50}'

HTTP/1.1 201 Created
Content-Type: application/json; charset=utf-8
Location: /menu/5

{"id":5,"naam":"Kaassoufflé","categorie":"snack","prijs":2.5}

Voorspel: wat zie je bij curl -i http://dekorrel.nl als de site alles naar https doorstuurt?

Een 301 (of 308) met een Location: https://dekorrel.nl/-header en weinig of geen body. Met -L volgt curl de redirect en zie je de echte pagina.

HTTP/2 en HTTP/3

Moderne sites gebruiken HTTP/2 of HTTP/3. Die versturen alles binair en sturen veel requests tegelijk over één verbinding, wat sneller is. De betekenis is precies hetzelfde: methodes, statuscodes, headers en bodies. De devtools en curl laten ze in dezelfde vorm zien.

Typische misverstanden

Oefeningen

Oefening 1. Welke methode en statuscode horen bij: een nieuw account aanmaken dat lukt?

Oefening 2. Een request geeft 415 Unsupported Media Type. Wat is er waarschijnlijk vergeten bij een POST met JSON?

Oefening 3. Bekijk met curl -I https://www.rijksoverheid.nl de headers. Noem drie headers en wat ze betekenen.

Lab: HTTP-verkeer onderzoeken met curl

Samenvatting

• HTTP bestaat uit requests (methode, pad, headers, body) en responses (statuscode, headers, body), en is stateless.
• GET is veilig; PUT en DELETE zijn idempotent; POST is geen van beide.
• 2xx gelukt, 3xx elders, 4xx fout van de client, 5xx fout van de server.
• Onderzoek verkeer met het Network-tabblad of curl -i / curl -v.

Volgende les: je eerste minimal API, en dan sta je zelf aan de serverkant.