Սահմանափակել պրոքսիի բովանդակության վերաշարադրումը no-transform-ով և HTTPS-ով

Բովանդակությունը ձևափոխող պրոքսին կարող է փոխել պատասխանը դեպի բրաուզեր տանող ճանապարհին՝ վերասեղմել պատկեր, վերաշարադրել նշումը կամ ներդնել օժանդակ JavaScript։ Էջը, որը աշխատում է մի ցանցում և անծանոթ նշում ստանում մյուսում, կարող է հանդիպել հենց այդ միջնորդի վարքին։

Ձեր կառավարած կայքի համար HTTP-ն տալիս է պատասխանի հստակ հրահանգ.

Cache-Control: no-transform

RFC 9111-ը պահանջում է, որ այս պատասխանի հրահանգը ստացող միջնորդը թողնի բովանդակությունը չձևափոխված՝ անկախ նրանից, թե արդյոք այդ միջնորդն իրականացնում է քեշ։ Սա վերաբերում է պատկերների վերասեղմմանը և նշման ներարկմանը, ոչ միայն այն հարցին, թե օբյեկտը կպահվի արդյոք։

Պահեք այն գործող քեշի քաղաքականության հետ

Եթե պատասխանն արդեն ունի քեշի հրահանգներ, ավելացրեք պահանջը գիտակցաբար՝ փոխարենը չհրաժարվելով քաղաքականության մնացած մասից։ Օրինակ՝ հանրային քեշավորվող ռեսուրսը կարող է ունենալ.

Cache-Control: public, max-age=3600, no-transform

Այս օրինակը պահպանում է մեկ ժամ թարմության քաղաքականությունը՝ միաժամանակ արգելելով բովանդակության ձևափոխումը։ no-transform չի նշանակում no-store և չի անջատում սովորական փոխանցման մշակումը։ Սահմանեք այն պատասխանների վրա, որոնց բնօրինակ բովանդակությունը կարևոր է, ներառյալ առանձին պատկերի պատասխանները, որտեղ տեղին է։

Հրահանգը գործում է միջնորդի համապատասխանության միջոցով։ Այն ծածկագրորեն չի խոչընդոտում, որ ցանցային սարքը անտեսի հրահանգը։

Պաշտպանեք նաև տրանսպորտը

HTTPS-ը բրաուզերին տալիս է միացում՝ իսկականացման և ամբողջականության պաշտպանությամբ դեպի իր TLS գործընկերը։ Սովորական կապալառուի պրոքսին, որը բաց է թողնում գաղտնագրված տրաֆիկը, չի կարող լուռ սկրիպտ ներդնել այդ պաշտպանված միացման մեջ։ Պահեք վկայագրի ստուգումը միացված; TLS-ը վերջացնող տեղական վստահելի ստուգող պրոքսին այլ կարգավորում է։

Մատուցեք էջը և նրա կախյալ ռեսուրսները HTTPS-ով։ Վերահղեք HTTP այցելուներին HTTPS, և դիտարկեք HSTS-ը այն տեղակայման համար, որը կարող է հետևողականորեն աջակցել դրան։ Միայն վերահղումը սկսվում է չպաշտպանված HTTP փոխանակմամբ այն այցելուի համար, ով օգտագործել է HTTP հասցե; նախկինում սովորած կամ նախապես բեռնված HSTS քաղաքականությունը փոխում է այդ սկզբնական ընտրությունը։

Ներարկված սկրիպտի արգելափակումը կարող է նվազեցնել նրա տեսանելի ազդեցությունները, բայց պատասխանն արդեն կարող է պարունակել փոփոխված HTML կամ վերաշարադրված պատկերի URL-ներ։ Մեկ հին ֆունկցիայի անուն փոխարինելը, անսովոր մեկնաբանություն ավելացնելը կամ պատմական ներարկման հասցե քարտեզագրելը չի հաստատում բովանդակության ամբողջականությունը հաջորդ միջնորդի համար։

Հաշվետվությունը հետաքննելիս համեմատեք ստացված պատասխանը աղբյուրի նախատեսված բովանդակության հետ և պարզեք, թե որտեղ է ավարտվում TLS-ը։ Այդ ապացույցն ավելի օգտակար է, քան յուրաքանչյուր անծանոթ սկրիպտ կայքի սեփական հավելվածի կոդի սխալ համարելը։