Avgrens proxy-innhaldsskriving med no-transform og HTTPS

Ein proxy som omformar innhald kan endre eit svar på veg til nettlesaren: rekomprimere eit bilete, skrive om markup eller setje inn støttande JavaScript. Ei side som fungerer på eitt nettverk og får ukjend markup på eit anna, kan møte nettopp denne åtferda hos mellombandet.

For eit nettstad du driv, gjev HTTP eit uttrykkeleg svardirektiv:

Cache-Control: no-transform

RFC 9111 krev at eit mellomband som mottek dette svardirektivet lèt innhaldet vere uomforma, anten mellombandet implementerer ein hurtigbuffer eller ikkje. Det er relevant for biletrekomprimering og innsetjing av markup, ikkje berre for om eit objekt blir lagra.

Hald det saman med den eksisterande hurtigbufferpolicyen

Viss eit svar alt har hurtigbufferdirektiv, legg til kravet med vilje i staden for å kaste resten av policyen. Til dømes kan ein offentleg hurtigbufferbar ressurs ha:

Cache-Control: public, max-age=3600, no-transform

Dette dømet bevarar ein ferskleikspolicy på éin time og forbyd samtidig innhaldsomforming. no-transform tyder ikkje no-store og slår ikkje av vanleg overføringsbehandling. Set det på svara der det opphavlege innhaldet er viktig, inkludert separate biletresponsar der det høver.

Direktivet verkar gjennom at mellombandet følgjer det. Det hindrar ikkje kryptografisk at ein nettverkséinheit ignorerer instruksjonen.

Vern òg transporten

HTTPS gjev nettlesaren ei tilkopling med autentisering og integritetsvern til sin TLS-motpart. Ein vanleg operatørproxy som slepp gjennom kryptert trafikk kan ikkje i det stille setje inn eit skript i den verna tilkoplinga. Hald sertifikatverifiseringa på; ein lokalt klarert inspeksjonsproxy som terminerer TLS er ei anna ordning.

Ten på sida og dei avhengige ressursane hennar over HTTPS. Omdiriger HTTP-besøkande til HTTPS, og vurder HSTS for ei utrulling som konsekvent kan støtte det. Ei omdirigering åleine byrjar med ein uverna HTTP-utveksling for ein besøkande som brukte ein HTTP-URL; ein tidlegare lærd eller førehandslasta HSTS-policy endrar det første valet.

Blokkering av eit innsett skript kan redusere dei synlege effektane, men svaret kan alt innehalde endra HTML eller omskrivne bilete-URL-ar. Å byte ut eitt gamalt funksjonsnamn, leggje til ein uvanleg kommentar eller kartleggje ei historisk innsetjingsadresse etablerer ikkje innhaldsintegritet for det neste mellombandet.

Når du granskar ein rapport, samanlikn det mottekne svaret med det tiltenkte innhaldet til opphavet og identifiser kvar TLS terminerer. Det beviset er nyttigare enn å handsame kvart ukjende skript som ein feil i eigen applikasjonskode på nettstaden.