425 Too Early (RFC 8470) hängt mit TLS-1.3-Early-Data zusammen, auch 0-RTT genannt. Ein Client, der eine TLS-Sitzung wieder aufnimmt, kann seine erste Anfrage zusammen mit dem Handshake senden, noch bevor dieser abgeschlossen ist, und spart so einen Roundtrip. Early Data kann ein Angreifer jedoch erneut einspielen (Replay), daher ist das Verfahren nur für Anfragen ohne Nebenwirkungen sicher.
Ein Server, der eine Anfrage als Early Data erhält und ihre Verarbeitung nicht riskieren will, kann mit 425 antworten. Der Client muss die Anfrage dann automatisch wiederholen, sobald der Handshake abgeschlossen ist. CDNs und andere Zwischenstationen, die Early-Data-Anfragen weiterleiten, fügen den Header Early-Data: 1 hinzu, damit der Ursprungsserver mit 425 antworten kann, wenn ein Replay Schaden anrichten würde.
Beispielantwort
HTTP/1.1 425 Too Early
Date: Fri, 06 Nov 2026 10:15:32 GMT
Content-Length: 0SEO und Weiterleitungsprüfung
Browser behandeln 425 automatisch, Nutzer bekommen den Code nie zu sehen. Crawler und Redirect-Checker nutzen 0-RTT selten, daher hat er praktisch keine Auswirkung auf SEO.
Häufige Ursachen und Einsatzzwecke
- Eine wieder aufgenommene TLS-1.3-Verbindung hat ein
POSTals Early Data gesendet, und der Server hat es abgelehnt, um ein Replay zu verhindern. - Ein Ursprungsserver hinter einem CDN mit aktiviertem 0-RTT lehnt Anfragen ab, die mit
Early-Data: 1gekennzeichnet sind. - Eine Anwendung, die Replays nicht sicher handhaben kann, lehnt alle Early Data mit 425 ab.