Omejite prepisovanje vsebine prek proxyja z no-transform in HTTPS

Proxy, ki preoblikuje vsebino, lahko spremeni odgovor na poti do brskalnika: znova stisne sliko, prepiše označevanje ali vstavi podporni JavaScript. Stran, ki deluje v enem omrežju in v drugem prejme neznano označevanje, se morda srečuje prav s tem vedenjem posrednika.

Za spletno mesto, ki ga upravljate, HTTP ponuja izrecno direktivo odgovora:

Cache-Control: no-transform

RFC 9111 zahteva, da posrednik, ki prejme to direktivo odgovora, pusti vsebino nepreoblikovano, ne glede na to, ali izvaja predpomnilnik. To je pomembno za ponovno stiskanje slik in vstavljanje označevanja, ne le za to, ali bo predmet shranjen.

Ohranite jo skupaj z obstoječo politiko predpomnilnika

Če ima odgovor že direktive predpomnilnika, zahtevo zavestno dodajte, namesto da zavržete preostanek politike. Na primer, javno predpomnilniško sredstvo ima lahko:

Cache-Control: public, max-age=3600, no-transform

Ta primer ohranja politiko svežine ene ure in hkrati prepoveduje preoblikovanje vsebine. no-transform ne pomeni no-store in ne onemogoči običajne obdelave prenosa. Nastavite jo na odgovorih, katerih izvirna vsebina je pomembna, vključno z ločenimi odgovori s slikami, kjer je to primerno.

Direktiva deluje prek skladnosti posrednika. Kriptografsko ne prepreči omrežni napravi, da bi navodilo prezrla.

Zaščitite tudi prenos

HTTPS brskalniku zagotovi povezavo z overjanjem in zaščito celovitosti do svojega partnerja TLS. Običajni operaterjev proxy, ki prepušča šifriran promet, ne more tiho vstaviti skripta v to zaščiteno povezavo. Ohranite preverjanje potrdil; lokalno zaupanja vreden inšpekcijski proxy, ki zaključi TLS, je drugačna ureditev.

Strežite stran in njene odvisne vire po HTTPS. Preusmerite obiskovalce HTTP na HTTPS in razmislite o HSTS za uvedbo, ki ga lahko dosledno podpira. Samo preusmeritev se začne z nezaščiteno izmenjavo HTTP za obiskovalca, ki je uporabil naslov HTTP; prej naučena ali vnaprej naložena politika HSTS spremeni to začetno izbiro.

Blokiranje vstavljenega skripta lahko zmanjša njegove vidne učinke, vendar lahko odgovor že vsebuje spremenjen HTML ali prepisane naslove slik. Zamenjava enega starega imena funkcije, dodajanje nenavadnega komentarja ali preslikava zgodovinskega naslova vstavitve ne vzpostavi celovitosti vsebine za naslednjega posrednika.

Pri preiskovanju poročila primerjajte prejeti odgovor z predvideno vsebino izvora in ugotovite, kje se TLS konča. Ta dokaz je bolj uporaben kot obravnavanje vsakega neznanega skripta kot napake v lastni kodi aplikacije spletnega mesta.