Прокси мазмұнын қайта жазуын no-transform және HTTPS арқылы шектеу

Мазмұнды түрлендіретін прокси жауапты браузерге барар жолда өзгерте алады: суретті қайта сығу, таңбалауды қайта жазу немесе көмекші JavaScript кірістіру. Бір желіде жұмыс істеп, екіншісінде бейтаныс таңбалау алатын бет дәл осы делдалдың әрекетіне тап болуы мүмкін.

Сіз басқаратын сайт үшін HTTP нақты жауап директивасын ұсынады:

Cache-Control: no-transform

RFC 9111 осы жауап директивасын алған делдалдың кэш іске асырғанына қарамастан мазмұнды түрлендірілмеген күйде қалдыруын талап етеді. Бұл суреттерді қайта сығуға және таңбалауды кірістіруге қатысты, тек нысанның сақталуына ғана емес.

Оны қолданыстағы кэш саясатымен бірге ұстаңыз

Егер жауапта кэш директивалары болса, саясаттың қалғанын тастаудың орнына талапты әдейі қосыңыз. Мысалы, көпшілікке кэштелетін ресурста мынадай болуы мүмкін:

Cache-Control: public, max-age=3600, no-transform

Бұл мысал бір сағаттық жаңалық саясатын сақтай отырып, мазмұнды түрлендіруге тыйым салады. no-transform no-store дегенді білдірмейді және қарапайым тасымалдауды өңдеуді өшірмейді. Оны түпнұсқа мазмұны маңызды жауаптарға орнатыңыз, қажет болған жағдайда жеке сурет жауаптарын қоса.

Директива делдалдың орындауы арқылы жұмыс істейді. Ол желілік құрылғының нұсқаулықты елемеуіне криптографиялық тұрғыдан кедергі келтірмейді.

Тасымалдауды да қорғаңыз

HTTPS браузерге өзінің TLS серіктесіне қарай аутентификация және тұтастық қорғанысы бар қосылым береді. Шифрланған трафикті өткізетін қарапайым оператор проксиі сол қорғалған қосылымға скриптті үнсіз кірістіре алмайды. Сертификат тексеруін қосылып тұрған күйде қалдырыңыз; TLS-ті тоқтататын жергілікті сенімді тексеру проксиі басқа конфигурация.

Бетті және оған тәуелді ресурстарды HTTPS арқылы ұсыныңыз. HTTP келушілерін HTTPS-ке бағыттаңыз және оны дәйекті қолдай алатын орналастыру үшін HSTS қарастырыңыз. Тек бағыттау HTTP URL пайдаланған келуші үшін қорғалмаған HTTP алмасуынан басталады; бұрын үйренген немесе алдын ала жүктелген HSTS саясаты сол бастапқы таңдауды өзгертеді.

Кірістірілген скриптті блоктау оның көрінетін әсерлерін азайтуы мүмкін, бірақ жауапта өзгертілген HTML немесе қайта жазылған сурет URL-дері болуы мүмкін. Бір ескі функция атауын ауыстыру, әдеттен тыс түсініктеме қосу немесе тарихи кірістіру мекенжайын бейнелеу келесі делдал үшін мазмұн тұтастығын бекітпейді.

Есепті зерттеу кезінде алынған жауапты дереккөздің көзделген мазмұнымен салыстырып, TLS қай жерде аяқталатынын анықтаңыз. Бұл дәлел әрбір бейтаныс скриптті сайттың өз қолданба кодындағы қате деп санаудан гөрі пайдалырақ.