Takmarka endurskrifun proxy-efnis með no-transform og HTTPS

Proxy sem umbreytir efni getur breytt svari á leiðinni til vafrans: endurþjappað mynd, endurskrifað merkingu eða sett inn stuðnings-JavaScript. Síða sem virkar á einu neti og fær ókunnuga merkingu á öðru gæti verið að mæta þessari hegðun milliliðarins.

Fyrir vef sem þú rekur býður HTTP skýra svarreglu:

Cache-Control: no-transform

RFC 9111 krefst þess að milliliður sem tekur við þessari svarreglu láti efnið óumbreytt, hvort sem milliliðurinn útfærir skyndiminni eða ekki. Þetta á við um endurþjöppun mynda og innsetningu merkingar, ekki bara hvort hlutur sé geymdur.

Haltu henni með núverandi skyndiminnisstefnu

Ef svar hefur þegar skyndiminnisreglur skaltu bæta kröfunni við af ásetningi í stað þess að henda restinni af stefnunni. Til dæmis gæti opinberlega skyndiminnisvæð eining haft:

Cache-Control: public, max-age=3600, no-transform

Þetta dæmi varðveitir ferskleikastefnu upp á eina klukkustund og bannar um leið umbreytingu efnis. no-transform þýðir ekki no-store og slökkvir ekki á venjulegri vinnslu flutnings. Stilltu það á svörin þar sem upprunalegt efni skiptir máli, þar á meðal sérstök myndsvör þar sem við á.

Reglan virkar í gegnum hlýðni milliliðarins. Hún kemur ekki í veg fyrir á dulmálslegan hátt að netbúnaður hunsist við leiðbeininguna.

Verndaðu flutninginn líka

HTTPS veitir vafranum tengingu með auðkenningu og heilleikavörn til TLS-jafningja síns. Venjulegt burðarproxy sem hleypir dulkóðuðum umferð í gegn getur ekki sett skrift inn í þá varðveittu tengingu án þess að nokkur taki eftir því. Haltu vottorðasannprófun áfram; staðbundið traust skoðunarproxy sem endar TLS er önnur uppsetning.

Þjónaðu síðunni og háðum auðlindum hennar yfir HTTPS. Beindu HTTP-gestum á HTTPS og íhugaðu HSTS fyrir uppsetningu sem getur stutt það stöðugt. Einungis endurbeining byrjar á óvarðri HTTP-skiptingu fyrir gest sem notaði HTTP-slóð; HSTS-stefna sem lærð var fyrr eða var forhlaðin breytir þessu upphafsvali.

Að blokka innsetta skrift getur dregið úr sýnilegum áhrifum hennar, en svarið gæti þegar innihaldið breytt HTML eða endurskrifaðar myndslóðir. Að skipta um eitt gamalt fallheiti, bæta við óvenjulegri athugasemd eða kortleggja sögulegt innsetningarslóð staðfestir ekki heilleika efnis fyrir næsta millilið.

Þegar þú rannsakar tilkynningu skaltu bera móttekið svar saman við fyrirhugað efni upprunans og greina hvar TLS endar. Sú sönnun er gagnlegri en að líta á hverja ókunnuga skrift sem galla í eigin forritakóða vefsins.