HTTP/1.1 считается надёжной основой веб-инфраструктуры, но на самом деле это протокол с фатальным изъяном. Расскажу, как из-за неоднозначности в спецификации один запрос может заставить пользователя оказаться в чужой сессии, отравить CDN-кэш недобросовестным Javascript, и никакая TLS-обвязка тут не поможет. Мы посмотрим, как особенности обработки HTTP/1.1 на уровне балансировщиков и прокси (upstream HTTP) приводят к десинхронизации запросов и ответов.

В докладе будет live‑демо на живом приложении, чтобы наглядно продемонстрировать реальные уязвимости протокола, и почему единственный выход — перейти на HTTP/2.