Cyfyngu ar ailysgrifennu cynnwys dirprwy gyda no-transform a HTTPS

Gall dirprwy sy'n trawsnewid cynnwys newid ymateb ar ei ffordd i'r porwr: ailgywasgu delwedd, ailysgrifennu marciau neu fewnosod JavaScript cynorthwyol. Gall tudalen sy'n gweithio ar un rhwydwaith ac yn cael marciau anghyfarwydd ar un arall fod yn cyfarfod â'r ymddygiad cyfryngol hwnnw.

Ar gyfer safle rydych chi'n ei weithredu, mae HTTP yn darparu cyfarwyddeb ymateb benodol:

Cache-Control: no-transform

Mae RFC 9111 yn gofyn i gyfryngwr sy'n derbyn y gyfarwyddeb ymateb hon adael y cynnwys heb ei drawsnewid, p'un a yw'r cyfryngwr hwnnw'n gweithredu storfa ai peidio. Mae'n berthnasol i ailgywasgu delweddau a chwistrellu marciau, nid yn unig i ba un a yw gwrthrych yn cael ei storio.

Cadwch ef gyda'r polisi storfa presennol

Os oes gan ymateb gyfarwyddebau storfa eisoes, ychwanegwch y gofyniad yn fwriadol yn hytrach na chael gwared ar weddill y polisi. Er enghraifft, gallai ased storadwy'n gyhoeddus fod â:

Cache-Control: public, max-age=3600, no-transform

Mae'r enghraifft hon yn cadw polisi ffresni awr tra'n gwahardd trawsnewid cynnwys. Nid yw no-transform yn awgrymu no-store nac yn analluogi prosesu trosglwyddo arferol. Gosodwch ef ar yr ymatebion y mae eu cynnwys gwreiddiol yn bwysig, gan gynnwys ymatebion delwedd ar wahân lle bo hynny'n briodol.

Mae'r gyfarwyddeb yn gweithio drwy gydymffurfiaeth cyfryngwr. Nid yw'n atal yn grifftograffaidd i ddyfais rwydwaith anwybyddu'r cyfarwyddyd.

Amddiffyn y cludiant hefyd

Mae HTTPS yn rhoi i'r porwr gysylltiad ag uwthentiad ac amddiffyniad cyfanrwydd i'w bartner TLS. Ni all dirprwy cludwr cyffredin sy'n pasio traffig wedi'i amgryptio fewnosod sgript yn dawel yn y cysylltiad gwarchodedig hwnnw. Cadwch wirio tystysgrifau ar waith; mae dirprwy archwilio lleol dibynadwy sy'n terfynu TLS yn drefniant gwahanol.

Gwasanaethwch y dudalen a'i hadnoddau dibynnol dros HTTPS. Ailgyfeiriwch ymwelwyr HTTP i HTTPS, ac ystyriwch HSTS ar gyfer defnydd a all ei gefnogi'n gyson. Mae ailgyfeirio yn unig yn dechrau â chyfnewid HTTP heb ei amddiffyn i ymwelydd a ddefnyddiodd URL HTTP; mae polisi HSTS a ddysgwyd yn flaenorol neu a lwythwyd ymlaen llaw yn newid y dewis cychwynnol hwnnw.

Gall blocio sgript a chwistrellwyd leihau ei heffeithiau gweladwy, ond gall ymateb eisoes gynnwys HTML wedi'i newid neu URL delweddau wedi'u hailysgrifennu. Nid yw disodli un hen enw swyddogaeth, ychwanegu sylw anarferol neu fapio cyfeiriad chwistrellu hanesyddol yn sefydlu cyfanrwydd cynnwys ar gyfer y cyfryngwr nesaf.

Wrth ymchwilio i adroddiad, cymharwch yr ymateb a dderbyniwyd â chynnwys arfaethedig y tarddiad a nodi ble mae TLS yn terfynu. Mae'r dystiolaeth honno'n fwy defnyddiol na thrin pob sgript anghyfarwydd fel nam yng nghod cymhwysiad y safle ei hun.