no-transform এবং HTTPS দিয়ে প্রক্সি কনটেন্ট পুনর্লিখন সীমিত করুন

কনটেন্ট রূপান্তরকারী প্রক্সি ব্রাউজারের দিকে যাওয়ার পথে resposta পরিবর্তন করতে পারে: ছবি পুনরায় কমপ্রেস করা, মার্কআপ পুনর্লিখন বা সহায়ক JavaScript ঢোকানো। যে পৃষ্ঠা একটি নেটওয়ার্কে কাজ করে এবং অন্যটিতে অপরিচিত মার্কআপ পায়, সেটি সেই মধ্যবর্তী আচরণের মুখোমুখি হতে পারে।

আপনার পরিচালিত সাইটের জন্য HTTP একটি স্পষ্ট প্রতিক্রিয়া নির্দেশনা দেয়:

Cache-Control: no-transform

RFC 9111 দাবি করে যে এই প্রতিক্রিয়া নির্দেশনা পাওয়া মধ্যবর্তী একটি ক্যাশ প্রয়োগ করুক বা না করুক, কনটেন্টকে অপরিবর্তিত রাখতে হবে। এটি ছবি পুনঃকমপ্রেশন ও মার্কআপ ইনজেকশনের সাথে প্রাসঙ্গিক, শুধু কোনো বস্তু সংরক্ষিত হবে কি না তা নয়।

এটি বিদ্যমান ক্যাশ নীতির সাথে রাখুন

প্রতিক্রিয়ায় ইতিমধ্যে ক্যাশ নির্দেশনা থাকলে, নীতির বাকি অংশ বাদ না দিয়ে প্রয়োজনীয়তাটি সচেতনভাবে যোগ করুন। উদাহরণস্বরূপ, সর্বজনীনভাবে ক্যাশযোগ্য সম্পদের থাকতে পারে:

Cache-Control: public, max-age=3600, no-transform

এই উদাহরণ এক ঘণ্টার সতেজতা নীতি রক্ষা করে এবং কনটেন্ট রূপান্তর নিষিদ্ধ করে। no-transform মানে no-store নয় এবং সাধারণ স্থানান্তর প্রক্রিয়াকরণ বন্ধ করে না। যে প্রতিক্রিয়াগুলোর মূল কনটেন্ট গুরুত্বপূর্ণ, প্রয়োজনে পৃথক ছবির প্রতিক্রিয়া সহ, সেগুলোতে এটি সেট করুন।

নির্দেশনাটি মধ্যবর্তীর পালনের মাধ্যমে কাজ করে। এটি ক্রিপ্টোগ্রাফিকভাবে কোনো নেটওয়ার্ক ডিভাইসকে নির্দেশনা উপেক্ষা করা থেকে বিরত রাখে না।

পরিবহনও সুরক্ষিত করুন

HTTPS ব্রাউজারকে তার TLS সমকক্ষের সাথে প্রমাণীকরণ ও অখণ্ডতা সুরক্ষাসহ একটি সংযোগ দেয়। এনক্রিপ্টেড ট্রাফিক পার করা সাধারণ ক্যারিয়ার প্রক্সি সেই সুরক্ষিত সংযোগে নিঃশব্দে স্ক্রিপ্ট ঢোকাতে পারে না। সার্টিফিকেট যাচাই চালু রাখুন; TLS সমাপ্তকারী স্থানীয়ভাবে বিশ্বস্ত পরিদর্শন প্রক্সি ভিন্ন একটি ব্যবস্থা।

পৃষ্ঠা ও তার নির্ভরশীল সম্পদ HTTPS-এ পরিবেশন করুন। HTTP দর্শকদের HTTPS-এ পুনর্নির্দেশ করুন এবং ধারাবাহিকভাবে সমর্থন করতে পারে এমন ডেপ্লয়মেন্টের জন্য HSTS বিবেচনা করুন। শুধু পুনর্নির্দেশ HTTP URL ব্যবহার করা দর্শকের জন্য অসুরক্ষিত HTTP বিনিময় দিয়ে শুরু হয়; আগে শেখা বা পূর্বে লোড করা HSTS নীতি সেই প্রাথমিক পছন্দ বদলে দেয়।

ইনজেক্ট করা স্ক্রিপ্ট ব্লক করা তার দৃশ্যমান প্রভাব কমাতে পারে, কিন্তু প্রতিক্রিয়ায় ইতিমধ্যে পরিবর্তিত HTML বা পুনর্লিখিত ছবির URL থাকতে পারে। একটি পুরোনো ফাংশন নাম প্রতিস্থাপন, অস্বাভাবিক মন্তব্য যোগ করা বা ঐতিহাসিক ইনজেকশন ঠিকানা ম্যাপ করা পরবর্তী মধ্যবর্তীর জন্য কনটেন্ট অখণ্ডতা প্রতিষ্ঠা করে না।

একটি প্রতিবেদন তদন্ত করার সময়, প্রাপ্ত প্রতিক্রিয়া উৎসের অভিপ্রেত কনটেন্টের সাথে তুলনা করুন এবং TLS কোথায় শেষ হয় তা চিহ্নিত করুন। সেই প্রমাণ সাইটের নিজস্ব অ্যাপ্লিকেশন কোডে বাগ হিসেবে প্রতিটি অপরিচিত স্ক্রিপ্ট গণ্য করার চেয়ে বেশি সহায়ক।