Hadkan penulisan semula kandungan proksi dengan no-transform dan HTTPS

Proksi yang mengubah kandungan boleh menukar respons dalam perjalanan ke pelayar: memampat semula imej, menulis semula penanda atau menyisipkan JavaScript sokongan. Halaman yang berfungsi pada satu rangkaian dan menerima penanda asing pada rangkaian lain mungkin sedang menemui tingkah laku perantara itu.

Untuk tapak yang anda kendalikan, HTTP menyediakan arahan respons yang jelas:

Cache-Control: no-transform

RFC 9111 menghendaki perantara yang menerima arahan respons ini membiarkan kandungan tidak diubah, sama ada perantara itu melaksanakan cache atau tidak. Ia berkaitan dengan pemampatan semula imej dan penyisipan penanda, bukan hanya sama ada objek disimpan.

Kekalkannya bersama dasar cache sedia ada

Jika respons sudah mempunyai arahan cache, tambahkan keperluan itu secara sengaja dan bukannya membuang seluruh dasar yang lain. Contohnya, aset yang boleh dicache secara awam mungkin mempunyai:

Cache-Control: public, max-age=3600, no-transform

Contoh ini mengekalkan dasar kesegaran satu jam sambil melarang pengubahan kandungan. no-transform tidak bermaksud no-store dan tidak melumpuhkan pemprosesan pemindahan biasa. Tetapkan pada respons yang kandungan asalnya penting, termasuk respons imej berasingan apabila sesuai.

Arahan itu berfungsi melalui pematuhan perantara. Ia tidak menghalang peranti rangkaian daripada mengabaikan arahan tersebut secara kriptografi.

Lindungi pengangkutan juga

HTTPS memberikan pelayar sambungan dengan pengesahan dan perlindungan integriti kepada rakan TLSnya. Proksi pembawa biasa yang melalukan trafik disulitkan tidak boleh menyisipkan skrip secara senyap ke dalam sambungan terlindung itu. Kekalkan pengesahan sijil; proksi pemeriksaan yang dipercayai secara setempat yang menamatkan TLS ialah susunan berbeza.

Sajikan halaman dan sumber bergantungnya melalui HTTPS. Ubah hala pelawat HTTP ke HTTPS, dan pertimbangkan HSTS untuk penggunaan yang boleh menyokongnya secara konsisten. Ubah hala sahaja bermula dengan pertukaran HTTP tidak terlindung bagi pelawat yang menggunakan URL HTTP; dasar HSTS yang dipelajari sebelum ini atau dimuatkan awal mengubah pilihan awal itu.

Menyekat skrip yang disisipkan boleh mengurangkan kesan yang kelihatan, tetapi respons mungkin sudah mengandungi HTML yang diubah atau URL imej yang ditulis semula. Menggantikan satu nama fungsi lama, menambah ulasan luar biasa atau memetakan alamat sisipan sejarah tidak menetapkan integriti kandungan untuk perantara seterusnya.

Apabila menyiasat laporan, bandingkan respons yang diterima dengan kandungan yang dimaksudkan oleh asal dan kenal pasti di mana TLS berakhir. Bukti itu lebih berguna daripada menganggap setiap skrip asing sebagai pepijat dalam kod aplikasi tapak itu sendiri.