პროქსის მიერ კონტენტის გადაწერის შეზღუდვა no-transform-ითა და HTTPS-ით

კონტენტის გარდამქმნელ პროქსის შეუძლია შეცვალოს პასუხი ბრაუზერისკენ მიმავალ გზაზე: ხელახლა შეკუმშოს სურათი, გადაწეროს მარკირება ან ჩასვას დამხმარე JavaScript. გვერდი, რომელიც მუშაობს ერთ ქსელში და სხვაში უცნობ მარკირებას იღებს, შესაძლოა სწორედ ამ შუამავლის ქცევას ხვდებოდეს.

თქვენს მიერ მართული საიტისთვის HTTP გვაძლევს პასუხის მკაფიო დირექტივას:

Cache-Control: no-transform

RFC 9111 მოითხოვს, რომ ამ პასუხის დირექტივის მიმღებმა შუამავალმა დატოვოს კონტენტი უცვლელი, მიუხედავად იმისა, დანერგავს ის ქეშს თუ არა. ეს ეხება სურათების ხელახალ შეკუმშვასა და მარკირების ჩასმას, და არა მხოლოდ იმას, შეინახება თუ არა ობიექტი.

შეინარჩუნეთ ის არსებულ ქეშის პოლიტიკასთან ერთად

თუ პასუხს უკვე აქვს ქეშის დირექტივები, დაამატეთ მოთხოვნა განზრახ, ნაცვლად იმისა, რომ პოლიტიკის დარჩენილი ნაწილი გადააგდოთ. მაგალითად, საჯაროდ ქეშირებად რესურსს შეიძლება ჰქონდეს:

Cache-Control: public, max-age=3600, no-transform

ეს მაგალითი ინარჩუნებს ერთსაათიანი სიახლის პოლიტიკას და ამავდროულად კრძალავს კონტენტის გარდაქმნას. no-transform არ ნიშნავს no-store-ს და არ თიშავს გადაცემის ჩვეულ დამუშავებას. დააყენეთ ის პასუხებზე, რომელთა ორიგინალური კონტენტი მნიშვნელოვანია, მათ შორის ცალკე სურათის პასუხებზე, სადაც ეს მიზანშეწონილია.

დირექტივა მუშაობს შუამავლის დაცვით. ის კრიპტოგრაფიულად არ უშლის ხელს ქსელურ მოწყობილობას ინსტრუქციის უგულებელყოფაში.

დაიცავით ტრანსპორტიც

HTTPS აძლევს ბრაუზერს კავშირს აუთენტიფიკაციითა და მთლიანობის დაცვით თავისი TLS პარტნიორის მიმართ. ჩვეულებრივი გადამზიდავის პროქსი, რომელიც გაშიფრულ ტრაფიკს გაატარებს, ვერ ჩასვამს ჩუმად სკრიპტს ამ დაცულ კავშირში. დატოვეთ სერტიფიკატის შემოწმება ჩართული; TLS-ის დამამთავრებელი ლოკალურად სანდო ინსპექციის პროქსი სხვა მოწყობაა.

მიაწოდეთ გვერდი და მისი დამოკიდებული რესურსები HTTPS-ით. გადაამისამართეთ HTTP ვიზიტორები HTTPS-ზე და განიხილეთ HSTS იმ განლაგებისთვის, რომელსაც შეუძლია მისი თანმიმდევრულად მხარდაჭერა. მხოლოდ გადამისამართება იწყება დაუცველი HTTP გაცვლით იმ ვიზიტორისთვის, რომელმაც HTTP URL გამოიყენა; ადრე ნასწავლი ან წინასწარ ჩატვირთული HSTS პოლიტიკა ცვლის ამ საწყის არჩევანს.

ჩასმული სკრიპტის დაბლოკვამ შეიძლება შეამციროს მისი ხილული ეფექტები, მაგრამ პასუხი შეიძლება უკვე შეიცავდეს შეცვლილ HTML-ს ან გადაწერილ სურათის URL-ებს. ერთი ძველი ფუნქციის სახელის შეცვლა, უჩვეულო კომენტარის დამატება ან ისტორიული ჩასმის მისამართის დაკავშირება არ ამტკიცებს კონტენტის მთლიანობას შემდეგი შუამავლისთვის.

მოხსენების გამოძიებისას შეადარეთ მიღებული პასუხი წყაროს განზრახ კონტენტს და დაადგინეთ, სად მთავრდება TLS. ეს მტკიცებულება უფრო სასარგებლოა, ვიდრე ყოველი უცნობი სკრიპტის საიტის საკუთარი აპლიკაციის კოდის შეცდომად მიჩნევა.