จำกัดการเขียนเนื้อหาพร็อกซีใหม่ด้วย no-transform และ HTTPS

พร็อกซีที่แปลงเนื้อหาสามารถเปลี่ยนการตอบสนองระหว่างทางไปยังเบราว์เซอร์ได้: บีบอัดรูปภาพใหม่ เขียนมาร์กอัปใหม่ หรือแทรก JavaScript ที่ช่วยเสริม หน้าที่ทำงานบนเครือข่ายหนึ่งแต่ได้รับมาร์กอัปที่ไม่คุ้นเคยบนอีกเครือข่ายหนึ่งอาจกำลังเผชิญกับพฤติกรรมของตัวกลางนั้น

สำหรับไซต์ที่คุณดำเนินการ HTTP มีคำสั่งการตอบสนองที่ชัดเจน:

Cache-Control: no-transform

RFC 9111 กำหนดให้ตัวกลางที่ได้รับคำสั่งการตอบสนองนี้ปล่อยเนื้อหาไว้โดยไม่แปลง ไม่ว่าจะใช้งานแคชหรือไม่ก็ตาม สิ่งนี้เกี่ยวข้องกับการบีบอัดรูปภาพใหม่และการแทรกมาร์กอัป ไม่ใช่เพียงว่าวัตถุจะถูกจัดเก็บหรือไม่

เก็บไว้พร้อมนโยบายแคชที่มีอยู่

หากการตอบสนองมีคำสั่งแคชอยู่แล้ว ให้เพิ่มข้อกำหนดอย่างตั้งใจแทนที่จะทิ้งส่วนที่เหลือของนโยบาย ตัวอย่างเช่น ทรัพย์สินที่แคชได้สาธารณะอาจมี:

Cache-Control: public, max-age=3600, no-transform

ตัวอย่างนี้รักษานโยบายความสดใหม่หนึ่งชั่วโมงพร้อมกับห้ามการแปลงเนื้อหา no-transform ไม่ได้หมายความถึง no-store และไม่ได้ปิดการประมวลผลการถ่ายโอนปกติ ตั้งค่าในการตอบสนองที่เนื้อหาต้นฉบับมีความสำคัญ รวมถึงการตอบสนองรูปภาพแยกต่างหากเมื่อเหมาะสม

คำสั่งนี้ทำงานผ่านการปฏิบัติตามของตัวกลาง ไม่ได้ป้องกันทางวิทยาการเข้ารหัสไม่ให้อุปกรณ์เครือข่ายเพิกเฉยต่อคำสั่ง

ปกป้องการขนส่งด้วย

HTTPS ให้เบราว์เซอร์มีการเชื่อมต่อที่มีการรับรองความถูกต้องและการปกป้องความสมบูรณ์ไปยังคู่ TLS ของตน พร็อกซีผู้ให้บริการทั่วไปที่ส่งผ่านทราฟฟิกที่เข้ารหัสไม่สามารถแทรกสคริปต์เข้าในการเชื่อมต่อที่ได้รับการปกป้องนั้นได้อย่างเงียบ ๆ รักษาการตรวจสอบใบรับรองไว้ พร็อกซีตรวจสอบที่เชื่อถือได้ในเครื่องซึ่งสิ้นสุด TLS เป็นการจัดวางที่แตกต่างออกไป

ให้บริการหน้าเว็บและทรัพยากรที่ขึ้นกับ它具有 HTTPS เปลี่ยนเส้นทางผู้เยี่ยมชม HTTP ไปยัง HTTPS และพิจารณา HSTS สำหรับการติดตั้งที่สามารถรองรับได้อย่างสม่ำเสมอ การเปลี่ยนเส้นทางเพียงอย่างเดียวเริ่มต้นด้วยการแลกเปลี่ยน HTTP ที่ไม่ได้รับการปกป้องสำหรับผู้เยี่ยมชมที่ใช้ URL HTTP นโยบาย HSTS ที่เรียนรู้มาก่อนหรือโหลดล่วงหน้าจะเปลี่ยนตัวเลือกเริ่มต้นนั้น

การบล็อกสคริปต์ที่ถูกแทรกอาจลดผลกระทบที่มองเห็นได้ แต่การตอบสนองอาจมี HTML ที่เปลี่ยนแปลงแล้วหรือ URL รูปภาพที่เขียนใหม่แล้ว การแทนที่ชื่อฟังก์ชันเก่าหนึ่งชื่อ การเพิ่มความคิดเห็นที่ผิดปกติ หรือการแมปที่อยู่การแทรกในอดีตไม่ได้สร้างความสมบูรณ์ของเนื้อหาสำหรับตัวกลางถัดไป

เมื่อตรวจสอบรายงาน ให้เปรียบเทียบการตอบสนองที่ได้รับกับเนื้อหาที่ตั้งใจของต้นทาง และระบุว่า TLS สิ้นสุดที่ใด หลักฐานนั้นมีประโยชน์มากกว่าการถือว่าสคริปต์ที่ไม่คุ้นเคยทุกตัวเป็นข้อบกพร่องในโค้ดแอปพลิเคชันของไซต์เอง