{"id":13621,"date":"2026-10-22T12:45:00","date_gmt":"2026-10-22T10:45:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13621"},"modified":"2026-10-09T23:30:21","modified_gmt":"2026-10-09T21:30:21","slug":"http-3-beim-ersten-besuch-wie-ein-client-das-protokoll-entdeckt","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/http-3-beim-ersten-besuch-wie-ein-client-das-protokoll-entdeckt\/","title":{"rendered":"HTTP\/3 beim ersten Besuch: Wie ein Client das Protokoll entdeckt und was zwanzig Seiten geantwortet haben"},"content":{"rendered":"

Eine Protokollfassung l\u00e4sst sich nicht einfach verlangen. HTTP\/1.1 und HTTP\/2 werden w\u00e4hrend des verschl\u00fcsselten Verbindungsaufbaus ausgehandelt, in einem Schritt, in dem beide Seiten auflisten, was sie sprechen. HTTP\/3 kann an diesem Schritt nicht teilnehmen, weil es gar nicht dieselbe Art Verbindung benutzt.<\/p>\n

Zwanzig gro\u00dfe Seiten wurden je einmal ge\u00f6ffnet. Sechs davon sprechen HTTP\/3. Keine einzige der zwanzig Verbindungen hat es benutzt.<\/p>\n

\n\"Erster
Am Server hat sich zwischen den beiden Anfragen nichts ge\u00e4ndert – nur dass das Programm einmal da war.<\/figcaption><\/figure>\n

Was HTTP\/3 anders macht<\/h2>\n

HTTP\/1.1 und HTTP\/2 laufen beide \u00fcber TCP. HTTP\/3 l\u00e4uft \u00fcber QUIC, und das sitzt stattdessen auf UDP.<\/p>\n

Der praktische Gewinn liegt im Umgang mit Verlusten. Unter HTTP\/2 teilen sich mehrere Anfragen eine TCP-Verbindung, und ein einziges verlorenes Paket bremst sie alle aus, bis es erneut geschickt wurde: Jeder Strom wartet auf einen. QUIC h\u00e4lt die Str\u00f6me unabh\u00e4ngig, ein verlorenes Paket verz\u00f6gert also nur das, wozu es geh\u00f6rte.<\/p>\n

Der Preis daf\u00fcr ist ein v\u00f6llig anderer Transportweg. Wer HTTP\/3 will, muss eine UDP-Verbindung zu einem Port aufbauen, an dem vielleicht jemand lauscht und vielleicht nicht – und das l\u00e4sst sich nicht w\u00e4hrend eines TCP-Aufbaus herausfinden, weil es keinen TCP-Aufbau gibt.<\/p>\n

Wie ein Programm erf\u00e4hrt, dass es HTTP\/3 gibt<\/h2>\n

Es gibt zwei Wege, und beide m\u00fcssen vor der Verbindung liegen, die ihn nutzen w\u00fcrde.<\/p>\n

Der erste ist ein Header. Ein Server, der \u00fcber HTTP\/2 antwortet, kann Alt-Svc: h3=\":443\"<\/code> mitschicken. Das hei\u00dft: Denselben Inhalt gibt es auch \u00fcber HTTP\/3 auf diesem Port, und das Angebot gilt so und so viele Sekunden. Das Programm merkt sich das und nutzt es beim n\u00e4chsten Mal.<\/p>\n

Der zweite ist das DNS. Ein HTTPS<\/code>-Eintrag kann das Protokoll benennen, bevor \u00fcberhaupt eine Verbindung besteht, und das ist der einzige Weg, der bei einem wirklich ersten Besuch tr\u00e4gt.<\/p>\n

Beides sind Ank\u00fcndigungen, keines ist eine Anfrage. Einfach HTTP\/3 zu versuchen und zur\u00fcckzufallen geht nicht, denn ein misslungener UDP-Versuch kostet eine Wartezeit, und die ist schlimmer als der Verzicht.<\/p>\n

Was zwanzig Seiten geantwortet haben<\/h2>\n

Am 2. September 2026 \u00f6ffnete ein Programm, das HTTP\/3 beherrscht, jede Seite einmal und folgte dabei den Weiterleitungen. Alle zwanzig Seiten antworteten mit Status 200.<\/p>\n

Achtzehn Verbindungen kamen \u00fcber HTTP\/2 zustande. Zwei \u00fcber HTTP\/1.1: nginx.org und www.gnu.org, beides alteingesessene Projektseiten.<\/p>\n

Keine einzige \u00fcber HTTP\/3 – auch nicht bei den sechs Seiten, deren Antwort es ank\u00fcndigte. Denn die Ank\u00fcndigung steckt in der Antwort, und zu diesem Zeitpunkt ist die Verbindung l\u00e4ngst zustande gekommen.<\/p>\n

\n\"Zwei
\n<\/figure>\n

Der zweite Abruf sieht anders aus<\/h2>\n

Drei der Seiten wurden danach zweimal hintereinander gefragt, wobei das Programm behielt, was ihm beim ersten Mal gesagt worden war.<\/p>\n

Bei cloudflare.com, bbc.com und w3.org lief der erste Abruf \u00fcber HTTP\/2 und der zweite \u00fcber HTTP\/3, jedes Mal. Am Server hat sich dazwischen nichts ge\u00e4ndert. Der einzige Unterschied war, dass das Programm einmal da gewesen war.<\/p>\n

So sieht die Verbreitung von HTTP\/3 in der Praxis aus: Die erste Seite eines Besuchs wird nie dar\u00fcber ausgeliefert, alles danach vielleicht. Ob das ins Gewicht f\u00e4llt, h\u00e4ngt davon ab, welchen Anteil eines Besuchs die erste Anfrage ausmacht – bei einer einzelnen gelesenen und wieder verlassenen Seite einen ziemlich gro\u00dfen.<\/p>\n

Angek\u00fcndigt und unerreichbar, und umgekehrt<\/h2>\n

Zwei Seiten fielen in entgegengesetzte Richtungen aus dem Muster.<\/p>\n

python.org baute jede erzwungene HTTP\/3-Verbindung auf, schickte aber keinen Alt-Svc<\/code>-Header und f\u00fchrte auch keinen DNS-Eintrag. Das Protokoll wird gesprochen und nirgends angek\u00fcndigt, ein Browser hat also keine M\u00f6glichkeit, davon zu erfahren.<\/p>\n

spiegel.de k\u00fcndigte HTTP\/3 in der Antwort an, doch f\u00fcnf erzwungene Versuche aus diesem Netz kamen nie zustande. Das ist eine Aussage \u00fcber diese Messung und nicht \u00fcber die Seite: Eine UDP-Verbindung kann unterwegs an Dingen scheitern, die mit dem Server nichts zu tun haben.<\/p>\n

Der DNS-Weg erwies sich ebenfalls als selten. Von zehn gepr\u00fcften Namen f\u00fchrten drei einen HTTPS<\/code>-Eintrag: cloudflare.com, www.cloudflare.com und w3.org.<\/p>\n

Was daraus folgt<\/h2>\n

F\u00fcr den Betrieb einer Seite ist die Reihenfolge das Brauchbare.<\/p>\n

Alt-Svc<\/code> zu schicken kostet einen Header und hebt jede Anfrage nach der ersten auf HTTP\/3. Das ist die billige H\u00e4lfte, und sechs von zwanzig Seiten haben sie.<\/p>\n

Der HTTPS<\/code>-Eintrag im DNS ist die H\u00e4lfte, die schon die erste Anfrage erreicht, und genau die hat fast niemand gesetzt. Wo ein Besuch typischerweise aus einer Seite besteht, l\u00e4ge dort der Gewinn.<\/p>\n

Und eine Messung, ob eine Seite HTTP\/3 unterst\u00fctzt, beantwortet eine andere Frage als die, ob eine Seite \u00fcber HTTP\/3 benutzt wird. Die zwanzig hier unterst\u00fctzen das eine und wurden mit dem anderen benutzt.<\/p>\n

Wie der HTTPS<\/code>-Eintrag aufgebaut ist, welche Parameter er tr\u00e4gt und was zwanzig Domains in einer eigenen Messung am 5. September 2026 darin ver\u00f6ffentlicht haben, beschreibt Der HTTPS-Eintrag im DNS: HTTP\/3 finden, ohne den Umweg<\/a>.<\/p>\n

\n

Fragen und Antworten<\/h2>\n

Was muss am Netz stimmen, bevor eine Seite Alt-Svc schickt?<\/h3>\n

Der UDP-Port 443 muss auf dem ganzen Weg offen sein. Viele Aufbauten sind nur f\u00fcr TCP eingerichtet: Die Firewall des Servers erlaubt 443\/tcp, der Router leitet nur TCP weiter, ein vorgeschalteter Filter des Anbieters l\u00e4sst UDP nicht durch. HTTP\/2 funktioniert dann tadellos, und nichts deutet auf das Problem hin.<\/p>\n

Schickt die Seite in diesem Zustand Alt-Svc, laufen Browser bei der n\u00e4chsten Anfrage in einen Verbindungsversuch, der nie zustande kommt. Sie fallen auf HTTP\/2 zur\u00fcck, doch der Artikel nennt den Preis: Ein misslungener UDP-Versuch kostet Wartezeit. Die Ank\u00fcndigung macht die Seite dann langsamer statt schneller.<\/p>\n

Zwei Dinge helfen. Erstens eine Pr\u00fcfung von au\u00dferhalb des eigenen Netzes mit einem Programm, das HTTP\/3 erzwingen kann; wie das Beispiel spiegel.de zeigt, h\u00e4ngt das Ergebnis vom Weg ab. Zweitens ein kurzer Wert f\u00fcr ma im Header, also die G\u00fcltigkeit der Ank\u00fcndigung in Sekunden. Fehlt ma, gilt die Ank\u00fcndigung nach RFC 7838 f\u00fcr 24 Stunden, und so lange bleibt eine falsche Ank\u00fcndigung im Umlauf, auch wenn sie l\u00e4ngst entfernt wurde.<\/p>\n

Z\u00e4hlt HTTP\/3 auch, wenn ein CDN vor der Seite steht?<\/h3>\n

Ja, aber nur auf der Strecke zwischen Browser und CDN. Der Ursprungsserver dahinter kann weiter HTTP\/1.1 oder HTTP\/2 sprechen, und den Alt-Svc-Header schickt dann meist das CDN, nicht der eigene Server.<\/p>\n

Wie sieht ein HTTPS-Eintrag im DNS aus?<\/h3>\n

In seiner einfachsten Form so:<\/p>\n

example.com. 3600 IN HTTPS 1 . alpn=h3,h2<\/code><\/p>\n

Die 1 ist die Priorit\u00e4t und zeigt an, dass der Eintrag Dienstparameter tr\u00e4gt; der Punkt danach bedeutet, dass derselbe Name gemeint ist; alpn listet die Protokolle, die der Server spricht. Ein Browser, der diesen Eintrag abfragt, wei\u00df damit schon vor der ersten Verbindung, dass HTTP\/3 angeboten wird.<\/p>\n

Zwei Voraussetzungen geh\u00f6ren dazu. Der DNS-Anbieter muss den Eintragstyp HTTPS unterst\u00fctzen, was nicht jeder tut. Und der Eintrag ersetzt keinen offenen UDP-Port 443: Er k\u00fcndigt nur an, genau wie Alt-Svc, und eine Ank\u00fcndigung ohne erreichbaren Port kostet dieselbe Wartezeit, diesmal schon beim ersten Besuch.<\/p>\n<\/div>\n

\n

Quellen<\/h2>\n