Limigi laŭvolan enhavan reverkadon per no-transform kaj HTTPS

Transforma prokura servilo povas ŝanĝi respondon survoje al la retumilo: rekompaki bildon, reverki markadon aŭ enmeti helpan JavaScript. Paĝo, kiu funkcias en unu reto kaj ricevas nekonatan markadon en alia, eble renkontas ĝuste tiun konduton de peranto.

Por retejo, kiun vi funkciigas, HTTP provizas eksplicitan respondan direktivon:

Cache-Control: no-transform

RFC 9111 postulas, ke peranto, kiu ricevas ĉi tiun respondan direktivon, lasu la enhavon netransformita, sendepende de tio, ĉu ĝi efektivigas kaŝmemoron. Ĝi rilatas al bilda rekompako kaj markada enmeto, ne nur al tio, ĉu objekto estas konservata.

Konservu ĝin kun la ekzistanta kaŝmemora politiko

Se respondo jam havas kaŝmemorajn direktivojn, aldonu la postulon konscie anstataŭ forĵeti la reston de la politiko. Ekzemple, publike kaŝmemorebla rimedo povus havi:

Cache-Control: public, max-age=3600, no-transform

Ĉi tiu ekzemplo konservas unuhoran freŝecpolitikon dum ĝi malpermesas enhavan transformon. no-transform ne implicas no-store kaj ne malŝaltas ordinaran transigan prilaboradon. Agordu ĝin sur la respondoj, kies origina enhavo gravas, inkluzive de apartaj bildaj respondoj kie konvene.

La direktivo funkcias per la plenumado de peranto. Ĝi ne kriptografie malhelpas retan aparaton ignori la instrukcieton.

Protektu ankaŭ la transporton

HTTPS donas al la retumilo konekton kun aŭtentigo kaj integrecprotekto al sia TLS-partnero. Ordinara portanto-prokuro, kiu pasigas ĉifritan trafikon, ne povas silente enmeti skripton en tiun protektitan konekton. Konservu la atestilan kontroladon; loke fidinda inspektada prokuro, kiu finas TLS, estas alia aranĝo.

Servu la paĝon kaj ĝiajn dependajn rimedojn per HTTPS. Alidirektu HTTP-uzantojn al HTTPS, kaj konsideru HSTS por surlokigo, kiu povas konstante subteni ĝin. Nur alidirekto komenciĝas per neprotektita HTTP-interŝanĝo por vizitanto, kiu uzis HTTP-URL-on; antaŭe lernita aŭ antaŭŝargita HSTS-politiko ŝanĝas tiun komencan elekton.

Blokado de enmetita skripto povas malpliigi ĝiajn videblajn efikojn, sed la respondo jam povas enhavi ŝanĝitan HTML aŭ reverkitajn bildajn URL-ojn. Anstataŭigi unu malnovan funkcian nomon, aldoni neordinaran komenton aŭ mapi historian enmetan adreson ne establas enhavan integrecon por la sekva peranto.

Kiam vi esploras raporton, komparu la ricevitan respondon kun la intencita enhavo de la origino kaj identigu, kie TLS finiĝas. Tiu pruvo estas pli utila ol trakti ĉiun nekonatan skripton kiel cimon en la propra aplikaĵa kodo de la retejo.