Proxy-Inhaltsëmschreiwen mat no-transform an HTTPS limitéieren

E Proxy, deen Inhalt transforméiert, kann eng Äntwert um Wee zum Browser änneren: en Bild nei kompriméieren, Markup ëmschreiwen oder ënnerstëtzend JavaScript afügen. Eng Säit, déi an engem Netz funktionéiert an an engem aneren onbekannte Markup kritt, kann dobäi op dëst Verhalen vum Zwëschestéck stoussen.

Fir eng Säit, déi Dir bedreift, bitt HTTP eng ausdrécklech Äntwertdirektiv:

Cache-Control: no-transform

RFC 9111 verlaangt, datt en Zwëschestéck, dat dës Äntwertdirektiv kritt, den Inhalt ontransforméiert léisst, onofhängeg dovun, ob et e Cache ëmsetzt. Et ass relevant fir Bildneikompriméierung an d'Afüge vu Markup, net nëmme fir d'Fro, ob en Objet gespäichert gëtt.

Behält se mat der bestehender Cachepolitik

Wann eng Äntwert schonn Cachedirektiven huet, füügt d'Ufuerderung bewosst derbäi, amplaz de Rescht vun der Politik ze verwerfen. Zum Beispill kéint en ëffentlech cachebare Verméigenswäert hunn:

Cache-Control: public, max-age=3600, no-transform

Dëst Beispill behält eng Fräschheetspolitik vun enger Stonn bäi a verbitt gläichzäiteg d'Inhaltstransformatioun. no-transform heescht net no-store an deaktivéiert net déi gewéinlech Iwwerdroungsveraarbechtung. Setzt se op d'Äntwerten, deenen hiren ursprénglechen Inhalt wichteg ass, och op separat Billeräntwerten wou et ubruecht ass.

D'Direktiv funktionéiert duerch d'Ergefëlle vum Zwëschestéck. Si verhënnert kryptografesch net, datt en Netzwierkapparat d'Instruktioun ignoréiert.

Schützt och den Transport

HTTPS gëtt dem Browser eng Verbindung mat Authentifikatioun an Integritéitsschutz zu sengem TLS-Partner. En normale Carrierproxy, deen verschlësselte Verkéier duerchléisst, kann net roueg e Skript an déi geschützt Verbindung afügen. Hält d'Zertifikatspréifung aktiv; en lokal vertrauenswürdegen Inspektiounsproxy, deen TLS terminéiert, ass eng aner Ariichtung.

Levert d'Säit an hir ofhängeg Ressourcen iwwer HTTPS aus. Leet HTTP-Besicher op HTTPS ëm, a betruecht HSTS fir eng Ausrollung, déi et konsequent ënnerstëtze kann. Eng Ëmleetung eleng fänkt mat engem onsécheren HTTP-Austausch fir e Besicher un, deen eng HTTP-URL benotzt huet; eng fréier geléiert oder virgeluede HSTS-Politik ännert déi éischt Wiel.

D'Blockéiere vun engem agestippten Skript kann seng siichtbar Effekter reduzéieren, awer d'Äntwert kann schonn geännerten HTML oder ëmgeschriwwe Bild-URLen enthalen. En ale Funktiounsnumm ersetzen, en ongewéinleche Kommentar derbäisetzen oder eng historesch Afügadress z'assignéieren etabléiert keng Inhaltsintegritéit fir dat nächst Zwëschestéck.

Beim Investigéiere vun engem Rapport vergläicht déi empfaangen Äntwert mam virgesinnenen Inhalt vun der Quell a bestëmmt, wou TLS terminéiert. Dës Evidenz ass méi nëtzlech wéi all onbekannt Skript als Feeler am eegene Applikatiounscode vun der Säit ze behandelen.