フォワードプロキシが独自の API ヘッダーをどう扱うか

API は API-Version のような独自のリクエストフィールドにバージョンを載せることがあります。通常のフォワードプロキシは、名前が馴染みがないという理由だけでそのフィールドを捨てるべきではありません。HTTP は、定義された例外や設定されたポリシーが適用されない限り、認識できないフィールドを転送することを求めます。

Connection フィールドはそうした例外の一つです。次の例示的なリクエストを比べてください。

API-Version: 2026-10
Connection: keep-alive

ここでは API フィールドはこの接続に固有のものとして指定されていません。次の例では、送信者がその適用範囲を明示的に変えています。

API-Version: 2026-10
Connection: API-Version

フォワードプロキシは転送の前に Connection で名前を挙げられたフィールドを削除し、接続に固有の指示そのものも削除または置換します。したがって、オリジン宛てのアプリケーションヘッダーはそのトークン一覧に現れるべきではありません。

フィールドが変わる地点を特定する

クライアントが組み立てたリクエスト、プロキシが受け取って転送したフィールド、そして オリジンが受け取った内容を比べます。クライアントはプロキシが見る前にヘッダーを省くことがあり、設定されたフィルターは意図的にそれを取り除くことがあり、サーバーはヘッダー上限を超えたとしてリクエストを拒否することがあります。

古い導入環境で報告されたヘッダーサイズのしきい値だけから、黙って取り除かれていると推測しないでください。上限と拒否の挙動は実際の構成要素と設定に属します。HTTP 応答と関連するログを観察とともに保管してください。

通常の CONNECT トンネル内でのエンドツーエンドの HTTPS では、プロキシは内側の API フィールドを読んだり選択的に削除したりできません。その場合のヘッダー検査は TLS の端点か、明示的に信頼された検査用の中間装置に属します。