Кроме токена, что ещё полезное может быть в заголовках HTTP-запроса? На что стоит смотреть?

Кроме авторизации, смотрят на Content-Type, Accept, Cookie, Origin, условные заголовки и идентификаторы корреляции. Их смысл зависит от операции и согласованного контракта.

Content-Type описывает отправленное тело, Accept — предпочитаемый формат ответа. Условные запросы могут использовать If-Match или If-None-Match; они важны для конкуренции и кеша. Для диагностики полезен безопасный request ID, а idempotency key помогает связать повторы, если сервер его поддерживает. Проверяйте лишние или противоречивые значения и не копируйте токены или cookies в общедоступные отчёты.