Ierobežot starpniekservera satura pārrakstīšanu ar no-transform un HTTPS

Saturu transformējošs starpniekserveris var mainīt atbildi ceļā uz pārlūku: atkārtoti saspiest attēlu, pārrakstīt iezīmējumu vai ievietot atbalsta JavaScript. Lapa, kas darbojas vienā tīklā un citā saņem nepazīstamu iezīmējumu, var saskarties tieši ar šo starpnieka uzvedību.

Jūsu pārvaldītajai vietnei HTTP nodrošina skaidru atbildes direktīvu:

Cache-Control: no-transform

RFC 9111 prasa, lai starpnieks, kas saņem šo atbildes direktīvu, atstātu saturu neizmainītu neatkarīgi no tā, vai tas īsteno kešatmiņu. Tas attiecas uz attēlu atkārtotu saspiešanu un iezīmējuma ievietošanu, ne tikai uz to, vai objekts tiek saglabāts.

Saglabājiet to kopā ar esošo kešatmiņas politiku

Ja atbildei jau ir kešatmiņas direktīvas, pievienojiet prasību apzināti, nevis atmetiet pārējo politiku. Piemēram, publiski kešojamam resursam var būt:

Cache-Control: public, max-age=3600, no-transform

Šis piemērs saglabā vienas stundas svaiguma politiku un vienlaikus aizliedz satura transformāciju. no-transform nenozīmē no-store un neizslēdz parasto pārsūtīšanas apstrādi. Iestatiet to atbildēm, kuru oriģinālajam saturam ir nozīme, tostarp atsevišķām attēlu atbildēm, kur tas ir lietderīgi.

Direktīva darbojas ar starpnieka atbilstību. Tā kriptogrāfiski neliedz tīkla ierīcei ignorēt norādījumu.

Aizsargājiet arī pārsūtīšanu

HTTPS sniedz pārlūkam savienojumu ar autentifikāciju un integritātes aizsardzību pret tā TLS partneri. Parasts operatora starpniekserveris, kas laiž cauri šifrētu trafiku, nevar klusi ievietot skriptu šajā aizsargātajā savienojumā. Saglabājiet sertifikātu pārbaudi; lokāli uzticams pārbaudes starpniekserveris, kas pārtrauc TLS, ir cita konfigurācija.

Piegādājiet lapu un tās atkarīgos resursus pa HTTPS. Novirziet HTTP apmeklētājus uz HTTPS un apsveriet HSTS izvietojumam, kas to var konsekventi atbalstīt. Tikai novirzīšana sākas ar neaizsargātu HTTP apmaiņu apmeklētājam, kurš izmantoja HTTP URL; iepriekš apgūta vai iepriekš ielādēta HSTS politika maina šo sākotnējo izvēli.

Ievietota skripta bloķēšana var mazināt tā redzamo ietekmi, taču atbildē jau var būt mainīts HTML vai pārrakstīti attēlu URL. Viena veca funkcijas nosaukuma aizstāšana, neparasta komentāra pievienošana vai vēsturiskas ievietošanas adreses kartēšana nenodrošina satura integritāti nākamajam starpniekam.

Izmeklējot ziņojumu, salīdziniet saņemto atbildi ar avota paredzēto saturu un nosakiet, kur beidzas TLS. Šie pierādījumi ir noderīgāki nekā katra nepazīstamā skripta uzskatīšana par vietnes pašas lietojumprogrammas koda kļūdu.