Ограничите преписивање садржаја проксија помоћу no-transform и HTTPS

Прокси који трансформише садржај може променити одговор на путу до прегледача: поново компримовати слику, преписивати ознаке или уметнути пратећи JavaScript. Страница која ради на једној мрежи и на другој добије непознате ознаке можда се сусреће управо с таквим понашањем посредника.

За страницу коју управљате, HTTP пружа изричиту директиву одговора:

Cache-Control: no-transform

RFC 9111 захтева да посредник који прими ову директиву одговора остави садржај нетрансформисаним, без обзира на то да ли тај посредник имплементира кеш. То је релевантно за поновну компресију слика и уметање ознака, а не само за то да ли ће објекат бити сачуван.

Задржите је уз постојећу политику кеша

Ако одговор већ има директиве кеша, додајте захтев намерно уместо да одбаците остатак политике. На пример, јавно кеширан ресурс може имати:

Cache-Control: public, max-age=3600, no-transform

Овај пример задржава политику свежине од једног сата уз забрану трансформације садржаја. no-transform не подразумева no-store нити искључује уобичајену обраду преноса. Поставите је на одговоре чији је изворни садржај важан, укључујући засебне одговоре са сликама где је то примерено.

Директива делује кроз усклађеност посредника. Она криптографски не спречава мрежни уређај да занемари упутство.

Заштитите и пренос

HTTPS прегледачу даје везу са аутентификацијом и заштитом интегритета према његовом TLS партнеру. Обични прокси оператера који пропушта шифровани саобраћај не може тихо уметнути скрипту у ту заштићену везу. Задржите проверу сертификата; локално поуздан инспекцијски прокси који прекида TLS другачији је распоред.

Послужујте страницу и њене зависне ресурсе преко HTTPS-а. Преусмеравајте HTTP посетиоце на HTTPS и размотрите HSTS за имплементацију која може доследно да га подржава. Само преусмеравање почиње незаштићеном HTTP разменом за посетиоца који је користио HTTP URL; претходно научена или унапред учитана HSTS политика мења тај почетни избор.

Блокирање уметнуте скрипте може смањити њене видљиве ефекте, али одговор већ може садржати измењени HTML или препи­сане URL адресе слика. Замена једног старог назива функције, додавање необичног коментара или мапирање историјске адресе уметања не успоставља интегритет садржаја за следећег посредника.

Када истражујете пријаву, упоредите примљени одговор са намераваним садржајем извора и утврдите где TLS завршава. Тај доказ је кориснији од третирања сваке непознате скрипте као грешке у сопственом апликацијском коду странице.