Ограничете препишувањето на содржината преку прокси со no-transform и HTTPS

Прокси што трансформира содржина може да го промени одговорот на патот кон прелистувачот: да прекомпресира слика, да го препише обележувањето или да вметне придружен JavaScript. Страница што работи на една мрежа и добива непознато обележување на друга може да се соочува токму со ова однесување на посредникот.

За локација што ја управувате, HTTP обезбедува јасна директива за одговор:

Cache-Control: no-transform

RFC 9111 бара посредникот што ја прима оваа директива за одговор да ја остави содржината непроменета, без оглед на тоа дали тој посредник имплементира кеш. Тоа е релевантно за прекомпресија на слики и вметнување обележување, не само за тоа дали некој објект се складира.

Задржете ја со постојната политика за кеш

Ако одговорот веќе има директиви за кеш, додајте го барањето намерно наместо да го отфрлите остатокот од политиката. На пример, јавно кеширачки ресурс може да има:

Cache-Control: public, max-age=3600, no-transform

Овој пример задржува политика на свежина од еден час и истовремено забранува трансформација на содржината. no-transform не значи no-store и не го исклучува обичното обработување на преносот. Поставете ја на одговорите чија оригинална содржина е важна, вклучително одделни одговори со слики каде што е соодветно.

Директивата дејствува преку почитувањето од страна на посредникот. Таа криптографски не спречува мрежен уред да ја игнорира инструкцијата.

Заштитете го и преносот

HTTPS му дава на прелистувачот врска со автентикација и заштита на интегритетот кон неговиот TLS партнер. Обично прокси на операторот што пропушта шифриран сообраќај не може тивко да вметне скрипта во таа заштитена врска. Задржете ја проверката на сертификатот; локално доверливо инспекциско прокси што го завршува TLS е друг распоред.

Служете ја страницата и нејзините зависни ресурси преку HTTPS. Пренасочете ги HTTP посетителите на HTTPS и размислете за HSTS за распоредување што може постојано да го поддржува. Само пренасочувањето започнува со незаштитена HTTP размена за посетител што користел HTTP URL; претходно научена или однапред вчитана HSTS политика го менува тој почетен избор.

Блокирањето на вметната скрипта може да ги намали нејзините видливи ефекти, но одговорот веќе може да содржи изменет HTML или препишани URL адреси на слики. Замената на едно старо име на функција, додавањето необичен коментар или мапирањето историска адреса за вметнување не воспоставува интегритет на содржината за следниот посредник.

Кога истражувате извештај, споредете го добиениот одговор со предвидената содржина на изворот и утврдете каде завршува TLS. Тој доказ е покорисен отколку да се третира секоја непозната скрипта како грешка во сопствениот апликациски код на локацијата.