Какие заголовки HTTP может устанавливать JavaScript?

Указывает ли W3C, какие заголовки HTTP может устанавливать XMLHttpRequest? Если да, опубликовали ли они документ, обосновывающий эти требования соображениями безопасности?

Должен ли браузер ограничивать заголовки HTTP по своему усмотрению? Если да, то есть ли документ или коллекция документов в Интернете, в которых перечислены особенности различных реализаций XHR, или необходимо найти эту информацию в документации для каждой реализации?