Códigos de estado HTTP — Cloudflare, nginx, snippets

¿Qué hace la herramienta de códigos de estado HTTP?

La herramienta es un catálogo de referencia consultable para códigos de estado HTTP. Cubre el RFC 9110 por completo — todos los códigos 1xx informativos, 2xx de éxito, 3xx de redirección, 4xx de error del cliente y 5xx de error del servidor — y añade los códigos específicos de plataforma que faltan en el registro de IANA pero que aparecen a diario en el registro de producción: Cloudflare 520-530, nginx 444 y 494-499, IIS 440 y 449, AWS Application Load Balancer 460/463 y CloudFront 561.

Para cada código la herramienta muestra: la frase de motivo canónica, una explicación técnica de dos a cuatro frases, los métodos HTTP habituales (POST tiende a devolver 201, GET tiende a devolver 200), el enlace a la especificación (RFC, documentación de Cloudflare, código fuente de nginx) y un enlace a la entrada de Wikipedia para contexto editorial.

¿Qué códigos de plataforma cubre la herramienta?

MDN documenta únicamente el estándar registrado por IANA. Las herramientas presentes en su pila de producción, sin embargo, emiten con regularidad códigos no estandarizados:

• Cloudflare 520-527 y 530 — la familia completa «el edge no pudo alcanzar el origen». 521 (origen fuera de línea), 522 (timeout de conexión), 523 (error de DNS del origen), 524 (respuesta del origen > 100 s), 525 y 526 (problemas SSL del origen), 527 (error de Railgun), 530 (envoltorio para los errores de la serie 1xxx).
• nginx 444 y 494-499 — códigos internos del código fuente de nginx: 444 (conexión cerrada en silencio), 494 (cabecera demasiado grande), 495 y 496 (problemas con el certificado del cliente), 497 (HTTP sobre un puerto HTTPS), 499 (el cliente cerró la conexión).
• IIS 440 y 449 — códigos específicos de Microsoft: 440 (timeout de inicio de sesión), 449 (Retry-With).
• AWS Application Load Balancer 460/463 y CloudFront 561 — códigos de edge de proveedores cloud para timeout de cliente, cadena X-Forwarded-For sobredimensionada y fallo de autenticación de Lambda@Edge.

El filtro «solo códigos de plataforma» oculta el estándar RFC y muestra únicamente este mundo — útil cuando consulta un incidente 5xx concreto en el panel de Cloudflare.

¿Qué son las tarjetas de confusión?

Cuatro parejas de códigos son las más confundidas en 2026 — la herramienta muestra automáticamente una tarjeta comparativa en cuanto selecciona uno de los códigos:

• 401 vs 403 — autenticación (sin login) vs autorización (login realizado, pero sin permiso).
• 301 vs 302 vs 307 vs 308 — permanencia × conservación del método, presentadas como tabla de verdad. 308 = permanente + conservación del método, la opción moderna.
• 400 vs 422 — error de la capa HTTP (sintaxis, framing) vs error de regla de negocio (validación, conflicto). Use 422 cuando el JSON es sintácticamente correcto pero el campo de correo electrónico no es válido.
• 502 vs 503 vs 504 — upstream defectuoso vs origen sobrecargado vs upstream silencioso. Los tres errores de pasarela se parecen pero tienen diagnósticos de causa raíz distintos.

Cada grupo incluye un resumen de una o dos frases y botones hacia los códigos vecinos — acceso directo sin cambio de URL.

¿Cómo funciona el filtro por método HTTP?

Cada código de la base de datos lleva asociada una lista de «métodos HTTP típicos que generan este código». El filtro «método HTTP» reduce la lista a un único método: pulse «POST» y verá únicamente los códigos que tienen sentido tras un POST — 200, 201, 202, 204, 303, 307, 400, 409, 422, 429, 500. Pulse «GET» y verá los códigos típicos de GET — 200, 206, 301, 304, 404, 410.

Es la vista inversa de la tarjeta de detalle: allí cada código dice «estos métodos me disparan»; el filtro dice «este método me devuelve los siguientes códigos».

¿Qué lenguajes de snippet admite la exportación?

Seis lenguajes destino, todos generados en el cliente:

• Enum de TypeScript — export enum HttpStatus { NOT_FOUND = 404, … } con comentarios JSDoc.
• Dict de Python — HTTP_STATUS_CODES = { 404: "Not Found", … } como mapa de búsqueda.
• Bloque const de Go — const ( StatusNot_Found = 404 … ) en estilo idiomático de Go.
• Enum de Rust — #[repr(u16)] pub enum HttpStatus { Not_Found = 404, … } con representación u16.
• Record de Java — public record HttpStatus(int code, String name) más constantes static final.
• Módulo de Ruby — module HttpStatus NOT_FOUND = 404 … end como contenedor de constantes.

Por defecto la exportación emite todos los códigos — estándar más códigos de plataforma. Puede acotar la selección con el conmutador «solo estándar RFC»; entonces el mundo de plataforma deja de aparecer en el código generado. Ambos snippets están comentados con limpieza y pueden incorporarse directamente a una base de código — sin tests, sin dependencias, sin avisos del compilador.

¿Por qué la búsqueda se ejecuta en el cliente sin tracking?

Esta herramienta no envía ninguna petición a un servidor. La base de datos completa de códigos de estado está incrustada en el paquete JavaScript, la búsqueda corre con String.prototype.toLowerCase e includes, y la generación de snippets mediante template strings. Sin llamadas a API, sin telemetría, sin cookies, sin localStorage.

Más detalles en la OWASP Logging Cheat Sheet sobre lo que una búsqueda en una herramienta revela en realidad — y por qué, en consultas con implicaciones de seguridad (investigación de códigos de estado durante un incidente), importa que la búsqueda no acabe en el registro de un tercero. El Registro de códigos de estado HTTP de IANA es la fuente canónica para los códigos registrados por IANA; todo lo demás procede directamente de la documentación de las plataformas (errores 5xx de Cloudflare, procesamiento de solicitudes HTTP en nginx, códigos de estado HTTP de Microsoft IIS).