이전에 자주 들어가던 Github Repository의 URL을 입력해서 해당 Repository로 들어가보았다.
그랬더니 다음과 같은 페이지가 나타났다.

Github에서 잘못된 url에 접근하면 나타나는 페이지 - 404 error를 띄운다.

이 Repository는 왜 404라는 코드를 보여줄까?

막연하게 404는 응답 없음, 접근 불가라고 생각했는데 정확한 의미가 궁금했고 나머지 코드들은 어떤 상태를 의미하는지 알고 싶어졌다.

HTTP 상태 코드

먼저 404, 500 .. 등 이러한 숫자를 HTTP 상태코드라고 하고 HTTP 요청의 결과, 성공여부, 콘텐츠 등 응답의 의미를 설명하는 세자리 정수 코드이다.

HTTP 응답은 5개의 그룹으로 나뉘어지며 모두 100 ~ 599 범위내에 있다.

상태코드의 첫번째 숫자로 분류할 수 있는데 다음과 같다.

1xx (Informational, 정보): 정보 요청이 수신되어 프로세스 진행중
2xx (Successful, 성공): 요청이 성공적으로 수신되어 이해되고 수락됨
3xx (Redirection, 리디렉션): 요청을 완료하기 위한 조치가 필요함
4xx (Client Error, 클라이언트 오류): 요청에 잘못된 구문이 포함됐거나 요청을 처리할 수 없음
5xx (Server Error, 서버 오류): 서버가 명백히 유효한 요청을 처리하지 못함

이 내용은 RFC에 문서화 되어있다.

🤔 RFC(Request For Comments)

IETF(Internet Engineering Task Force, 국제 인터넷 표준화기구)에서 관리하는 문서로 모든 인터넷 표준을 문서화 해놓은 사이트이다.

HTTP 상태코드는 확장가능하고 모든 상태 코드를 이해하는것이 좋다.

예를 들어 클라이언트에서 471 이라는 상태코드를 수신하면 400 (잘못된 요청)상태코드를 수신한 것 처럼 처리할 수 있도록 상태 코드를 이해하고 확장해야한다.

자주 사용되는 상태코드

모든 상태 코드를 다 알면 좋겠지만 자주 접하게 되는 코드에 대해 더 자세히 알아보았다.

1xx 응답코드 (정보 전달) : 정보를 받았고 작업을 진행 중

101, Switching Protocols :
HTTP에서 다른 프로토콜로 바뀌었음을 의미.
클라이언트가 웹소켓으로 통신하기 위해서는 HTTP에서 WebSocket으로 업데이트해야 한다.
103, Early Hints :
헤더와 함께 사용되며 주로 서버가 응답을 준비하는 동안 사용자가 사전로딩(PreLoading)을 할 수 있도록 하는 응답코드로 페이지 로드 속도를 빠르게 하기 위해서 사용한다.

(헤더를 통해 리소스를 미리 로드하라고 지시할 수 있다.)

비동기 통신으로 서버와 통신하는 경우가 많기 때문에 서버의 상태를 확인할 필요 없고 추가 통신을 해야하기 때문에 1xx 응답코드는 많이 사용되지 않는다고 한다.

2xx 응답코드 (성공) : 작업을 성공적으로 받았고 이해했으며 받아들여졌음

200, OK :
요청을 성공적으로 처리
(서버에서는 응답 바디에 요청한 데이터를 담음)
201, Created :
요청이 성공적으로 처리되어 리소스가 만들어졌음
(서버에서 리소스의 URL을 응답 헤더에 실어 보내는 것이 관례)
204, No Content :
성공적으로 처리했지만 컨텐츠를 제공하지 않음
(DELETE나 수정 등 처리 결과만 중요한 API 요청, 200과 대조됨)
206, Partial Content :
컨텐츠의 일부분만 제공 (클라이언트에서 시작, 다운로드 범위를 지정한 경우)

3xx 응답코드 (리디렉션) : 이 요청을 완료하기 위해서는 리디렉션이 이뤄져야 함

301, Moved Permanently :
컨텐츠가 영구적으로 새로운 위치로 이동한 경우
(응답 헤더에 새로운 URL을 실어보냄)

검색엔진은 크롤링시 301 코드를 통해 웹페이지를 인덱싱에 반영하기 때문에
특히 SEO(검색 엔진 최적화) 측면에서 중요함
302, Found :
클라이언트가 요청한 리소스가 일시적으로 다른 위치에 있는 경우
304, Not Modified :
클라이언트가 이전에 요청한 리소스가 서버에서 아직까지 수정된 적 없는 경우
클라이언트가 요청했던 리소스를 재요청한다면 이 상태 코드를 반환해 브라우저에 캐시되어 있는 버전을 사용하게 할 수 있음

4xx 응답코드 (클라이언트 오류) : 이 요청은 올바르지 않음

400, Bad Request :
입력값 검증 시 요청 자체가 잘못된 경우, 존재하지 않는 HTTP 메서드로 요청하는 경우, 전송한 본문 데이터가 잘못된 경우 등
401, Unauthorized :
클라이언트가 인증이 필요한 리소스에 인증없이 접근할 경우
403, Forbidden :
클라이언트가 권한 없이 리소스를 요청해 서버가 요청을 거부하는 경우
(인증에 성공해도 권한이 없을때 사용)
404, Not Found :
클라이언트가 요청한 리소스를 찾을 수 없는 경우(삭제되거나 존재하지 않는 리소스)
(여러 리소스를 요청한 경우 404 대신 200 과 빈 배열을 반환하는 것이 예외처리를 하지 않을 수 있다)
408, Request Timeout :
리소스 요청 중 응답 시간이 초과된 경우
429, Too many Request :
일정 시간 동안 너무 많은 요청을 보냈을 때 이를 거부하기 위해 사용

5xx 응답코드 (서버 오류) : 서버가 응답할 수 없음

500, Internal Server Error :
서버에 오류가 발생해 작업을 수행할 수 없는 경우
(설정, 코드 오류, 예외가 처리되지 않는 경우 등)
502, Bad Gateway :
게이트웨이가 연결된 서버로부터 잘못된 응답을 받은 경우
503, Service Temporarily Unavailable :
서비스를 일시적으로 사용할 수 없는 경우
504, Gateway Timeout :
게이트웨이가 연결된 서버로부터 응답을 받을 수 없는 경우

그래서 왜 404?

다시 돌아와서 위에서 찾아본 Repository는 사실 private이다.
왜 권한이 없는 경우인 403 대신 리소스를 찾을 수 없는 경우인 404 에러를 띄우는 것일까?

RFC의 403 응답코드에서 힌트를 찾을 수 있었다.

10.4.4 403 Forbidden

…
If the server does not wish to make this information available to the client, the status code 404 (Not Found) can be used instead.

서버가 이 정보를 클라이언트에 제공하지 않으려는 경우에는 404를 대신 사용할 수 있다.

이를 통해 Github 서버는 이 레포지토리의 정보를 제공하고 싶어하지 않는다는 것을 알 수 있다.

그 이유는 403 코드는 클라이언트에게 해당 요청에 대한 자원이 존재한다는 뜻을 내포하고 있는데,
이러한 의미는 공격자에게 보안의 취약점이 될 수 있다.

따라서 최근에는 Github 처럼 404를 내려주거나 에러 페이지를 보여주는 식의 보안을 적용하기도 한다.

이 외에도 5xx 응답 코드의 경우에도 에러의 원인이 노출 될 수 있기 때문에 별도의 조치가 필요하다.

응답코드는 항상 정답이 있다기 보다 상황에 따라 적절히 적용하여 사용하는 것이 좋아보인다.

물론 그 전에 응답 코드에 대한 확실한 이해가 뒤따라야 할 것이다.

출처

https://www.rfc-editor.org/rfc/rfc9110#name-overview-of-status-codes

https://developer.mozilla.org/ko/docs/Web/HTTP/Status

https://net-study.club/entry/RFC-Request-for-Comments-문서-열람-사이트-RFC-Editor-IETF®-Datatracker

https://mangkyu.tistory.com/146

https://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html

https://www.daleseo.com/http-status-codes/

https://blog.criminalip.io/ko/2022/08/09/http-상태-코드/