El desarrollo de los servidores web httpd(8) y relayd(8) de OpenBSD ha sido reactivado, incorporando nuevas capacidades de gestión de cabeceras HTTP que simplifican la configuración de seguridad. La principal novedad permite manipular directamente las cabeceras de respuesta en el archivo de configuración, eliminando la necesidad de modificar el código de la aplicación o depender exclusivamente de relayd. Esta función incluye tres directivas: set, que añade o reemplaza cabeceras; add, que las apila; y remove, que las suprime. Por defecto, estas reglas aplican a respuestas de estado 2xx y 3xx, aunque se puede incluir también las de error mediante la opción 'always', lo cual es crucial para cabeceras de seguridad como Content-Security-Policy.
Además, se ha implementado un sistema de filtrado de solicitudes basado en cabeceras de entrada. Esta herramienta permite rechazar peticiones de clientes no deseados, como rastreadores de IA o escáneres de vulnerabilidades, sin necesidad de reglas de firewall basadas en IP. Un análisis de estrés realizado por el desarrollador Purple Rain demostró la eficacia de esta función: en una prueba de 10 millones de peticiones, el 48,2% de las solicitudes falsas fueron descartadas y el 1,8% bloqueada, mientras que el 100% de las peticiones legítimas fueron servidas correctamente. Estas mejoras buscan fortalecer la seguridad de los servidores web al permitir un control granular del tráfico entrante y saliente.