HTTPステータスコード

登録済みのHTTPステータスコードすべてについて、意味、出てくる場面、定義されている場所をまとめています。

Select a code

Pick a code from the list to see when it is used, the specification that defines it and a command to try it. Use the arrow keys to move through the list.

64 registered codes · 17 unofficial

/ search↑ ↓ move

HTTPステータスコードとは？

HTTPレスポンスはすべて、リクエストがどうなったかを示す3桁のステータスコードで始まります。最初の桁がクラスを表し、1xxは情報、2xxは成功、3xxはリダイレクト、4xxはリクエストの誤り、5xxはサーバーのエラーを意味します。

ステータスコードは、2022年にRFC 7231を置き換えたRFC 9110（HTTP Semantics）と、429 Too Many Requests を定義するRFC 6585などいくつかのRFCで定義されています。公式のレジストリはIANAが管理しています。RFC 9110では2つのコードの名前が変わりました。413は Content Too Large（旧 Payload Too Large）、422は Unprocessable Content（旧 Unprocessable Entity）です。番号と動作は変わっていません。

実際に目にするコードの中には、レジストリにないものもあります。nginxはレスポンスの準備ができる前にクライアントが接続を切ると499を記録し、Cloudflareはオリジンサーバーから使えるレスポンスを得られないと520〜526を返し、Laravelはフォームのトークン（CSRF）が期限切れになると419を返します。これらは非公式として別にまとめています。

ステータスコードは、APIテストで最初に確認すべきものです。レスポンスの残りはすべてこれに左右されるからです。201 Created ならPOSTで新しいリソースが作られたこと、404ならリソースが存在しないこと、500ならサーバーが失敗したことを示します。500の場合、ボディは期待していたJSONではなくエラーページかもしれません。

使い方

11xxから5xxまでグループ分けされた一覧（非公式のコードは最後）を見るか、クラスのボタンで絞り込みます。
2番号、名前、症状で検索します。たとえば 404、5xx、redirect、timeout、あるいは Unprocessable Entity のような旧名称です。ページ内のどこからでも / を押すと検索欄に移動します。
3コードを選ぶか、矢印キーで一覧を移動すると、その意味、出てくる場面、定義している仕様、比較すべき関連コードが表示されます。
4Try it の下にある curl コマンドをコピーすると、testingapis.comのステータスエンドポイントからそのコードを返させることができます。リンクもコピーでき、/ja/tools/http-status/#429 で429を直接開けます。

トラブルシューティング

トークンを送ったのに401になる: トークンが期限切れか、形式が不正か、間違ったヘッダーで送られているか、Bearer の接頭辞が抜けています。どれが原因かは、レスポンスヘッダーの WWW-Authenticate に書かれていることがよくあります。403であれば、トークンは有効でも権限がないという意味です。
JSONのボディで415になる: リクエストに Content-Type: application/json ヘッダーがないため、サーバーがボディをJSONとして扱っていません。curlの -d は、ヘッダーを指定しない限り application/x-www-form-urlencoded を送ります。
リダイレクトの後、POSTがGETに変わる: クライアントは301や302に従うとき、ボディなしのGETとしてリクエストを送り直します。メソッドを維持する必要があるサーバーは、307か308を返すべきです。
ロードバランサーから502や504が返る: アプリケーションの手前にあるプロキシが有効な応答を受け取れませんでした。アプリケーションがクラッシュしたか接続を閉じた場合は502、プロキシのタイムアウトより時間がかかった場合は504です。原因はアプリケーション自体のログでわかります。
nginxのログに499がある: レスポンスの準備ができる前にクライアントがあきらめました。ユーザーがページを離れたか、クライアントや上流のプロキシがタイムアウトしたためです。よくある原因は、バックエンドへのリクエストが遅いことです。

よくある質問

401と403の違いは何ですか？

401 Unauthorized は、サーバーがあなたが誰なのかを知らないという意味です。認証情報がない、期限切れ、または間違っています。403 Forbidden は、誰なのかはわかっているけれど、そのIDにはその操作が許可されていないという意味です。ログインし直せば401は解決できますが、403は解決できません。

不正な入力に対して、APIは400と422のどちらを返すべきですか？

どちらも使われています。よくある使い分けは、不正な形式のJSONのようにサーバーがまったく読めないリクエストには400、必須項目の欠落や無効なメールアドレスのように、形式は正しくてもルールに反するデータには422です。

502、503、504の違いは何ですか？

3つとも、たいていはアプリケーションの手前にあるプロキシやロードバランサーから返されます。502 Bad Gateway は後ろのサーバーから無効な応答を受け取ったこと、503 Service Unavailable はサービスが過負荷かメンテナンス中であること、504 Gateway Timeout は後ろのサーバーが時間内に応答しなかったことを意味します。

どのリダイレクトコードを使えばよいですか？

301と308は恒久的、302と307は一時的なリダイレクトです。307と308ではクライアントが同じメソッドとボディでリクエストを送り直す必要がありますが、301や302の後では、クライアントは通常POSTをGETに変えてしまいます。POSTの後で結果ページに移動させるには、303 See Other を使ってください。

418 I'm a teapot は本当にあるステータスコードですか？

1998年のエイプリルフールのジョークで、コーヒーポットの制御について書かれたRFC 2324が出どころです。すでに多くのソフトウェアが認識しているため、RFC 9110では418を「未使用だが予約済み」としています。本物のエラーに使うためのものではありません。

特定のステータスコードをアプリがどう扱うか、どうやってテストできますか？

指定したコードを返すエンドポイントを呼び出します。GET https://api.testingapis.com/api/status/503 は503を返し、Retry-After のようにそのステータスに通常付くヘッダーも返します。200から599までのどのコードでも使えます。