Un proxy privé peut-il n'accepter que votre application ?
Explique les limites des restrictions par nom d'application et User-Agent, et distingue la possession d'identifiants de la preuve d'un exécutable précis.
Un proxy direct peut exiger des identifiants, restreindre les réseaux source et appliquer une politique de destination. Ces contrôles ne prouvent pas que l'appelant est un exécutable précis.
Un User-Agent ou un en-tête personnalisé est fourni par le client et peut être copié. Un nom d'application dans une requête ne convient donc pas comme unique porte d'entrée d'un proxy privé.
Utilisez des contrôles d'accès qui expriment ce que vous pouvez réellement valider : un compte autorisé, un emplacement réseau autorisé et les destinations prévues. Protégez et révoquez les identifiants du client via la conception habituelle de l'application pour la gestion des secrets. Vérifiez ensuite les requêtes autorisées et refusées par rapport à la limite d'accès prévue.
Même une authentification client plus forte établit la possession d'une clé ou d'un identifiant approuvé. Elle ne doit pas être décrite comme une garantie absolue qu'aucun autre programme ne peut utiliser cet identifiant.
Si l'exigence est l'application de l'intégrité des appareils gérés ou des applications, identifiez-la comme une exigence système supplémentaire. Ne la promettez pas avec une règle d'en-tête Squid qui ne fait que reconnaître une chaîne que l'appelant a choisie d'envoyer.