Omezte přepisování obsahu proxy pomocí no-transform a HTTPS

Proxy, které transformuje obsah, může změnit odpověď na cestě k prohlížeči: překomprimovat obrázek, přepsat značkování nebo vložit podpůrný JavaScript. Stránka, která funguje v jedné síti a v jiné získá neznámé značkování, se může setkávat právě s tímto chováním prostředníka.

Pro web, který provozujete, poskytuje HTTP výslovnou direktivu odpovědi:

Cache-Control: no-transform

RFC 9111 vyžaduje, aby prostředník, který tuto direktivu odpovědi obdrží, ponechal obsah netransformovaný, ať už mezipaměť implementuje, nebo ne. To se týká překomprimace obrázků a vkládání značkování, nejen toho, zda bude objekt uložen.

Zachovejte ji spolu se stávající politikou mezipaměti

Má-li odpověď už direktivy mezipaměti, přidejte požadavek záměrně, místo abyste zbytek politiky zahodili. Veřejně ukládatelné aktivum může mít například:

Cache-Control: public, max-age=3600, no-transform

Tento příklad zachovává politiku čerstvosti jedné hodiny a zakazuje transformaci obsahu. no-transform neznamená no-store ani nevypíná běžné zpracování přenosu. Nastavte ji u odpovědí, jejichž původní obsah je důležitý, včetně samostatných odpovědí s obrázky, kde je to vhodné.

Direktiva funguje díky tomu, že ji prostředník dodržuje. Kryptograficky nezabraňuje síťovému zařízení instrukci ignorovat.

Chraňte i přenos

HTTPS dává prohlížeči spojení s ověřováním a ochranou integrity vůči svému protějšku TLS. Běžné proxy operátora, které propouští šifrovaný provoz, nemůže do tohoto chráněného spojení tiše vložit skript. Ponechte ověřování certifikátů zapnuté; lokálně důvěryhodná inspekční proxy, která ukončuje TLS, je jiné uspořádání.

Servírujte stránku a její závislé zdroje přes HTTPS. Přesměrujte návštěvníky HTTP na HTTPS a zvažte HSTS pro nasazení, které jej dokáže soustavně podporovat. Samotné přesměrování začíná nechráněnou výměnou HTTP pro návštěvníka, který použil URL HTTP; dříve naučená nebo předem načtená politika HSTS tento počáteční výběr mění.

Zablokování vloženého skriptu může omezit jeho viditelné účinky, ale odpověď už může obsahovat změněné HTML nebo přepsané URL obrázků. Nahrazení jednoho starého názvu funkce, přidání neobvyklého komentáře nebo namapování historické adresy vkládání neprokazuje integritu obsahu pro dalšího prostředníka.

Při vyšetřování hlášení porovnejte přijatou odpověď se zamýšleným obsahem původu a určete, kde TLS končí. Tento důkaz je užitečnější než považovat každý neznámý skript za chybu ve vlastním kódu aplikace webu.