VPN பின்னால் கலப்பு உள்ளடக்கம்: ஆதாரத்தைச் சரிசெய்யுங்கள், சுரங்கப்பாதையை அல்ல

HTTP வழியாக ஸ்கிரிப்டுகளை ஏற்றும் HTTPS பக்கம் இரண்டு வெவ்வேறு பாதுகாப்பு நிலைகளுடன் இரண்டு கோரிக்கைகளைச் செய்கிறது, பூட்டு முதல் ஒன்றை மட்டுமே விவரிக்கிறது. சுரங்கப்பாதை இதை மாற்றாது, ஏனெனில் அது கடத்தியைப் பாதுகாக்கிறது, ஆதாரத்தின் சொந்த திட்டத்தை அல்ல. முகவரிப் பட்டியை விட கன்சோலைப் படித்தால், எந்தக் கோரிக்கை தோல்வியடைந்தது என்பதை உலாவி ஏற்கனவே சொல்கிறது. மூன்று சோதனைகள் உங்களைப் பாதி வேலை செய்யும் பக்கத்திலிருந்து உண்மையான பழுதுநீக்கத்திற்கு அழைத்துச் செல்கின்றன.

கோரிக்கையைப் படியுங்கள், முகவரிப் பட்டியை அல்ல

HTTPS வழியாகப் பெறப்பட்ட ஆவணம் ஒரு ஸ்கிரிப்ட், பாணித் தாள், எழுத்துரு அல்லது சட்டகத்தை சாதாரண HTTP வழியாகக் குறிப்பிடலாம். அந்தக் குறிப்பு தனிக் கோரிக்கை, உலாவி அதைப் பற்றியே புகார் செய்கிறது. முதன்மை ஆவணத்தின் பாதுகாப்பு அதற்குள் பின்னோக்கிச் செல்லாது, இரு ஓட்டங்களையும் சுமக்கும் சுரங்கப்பாதை எந்தத் திட்டத்தையும் மாற்றாது. எனவே பக்கம் ஒரே நேரத்தில் உண்மையிலேயே பாதுகாப்பாகவும் உண்மையிலேயே உடைந்ததாகவும் இருக்கலாம்.

ஆதாரத்தை வெறும் சேர்க்கப்பட்ட கோப்பு என்று அழைப்பது அதை மாற்றுவதைப் பாதிப்பில்லாததாக்காது.

பாதுகாப்பற்ற ஸ்கிரிப்ட் உள்ளடக்கத்தை வழியில் மாற்றி பின்னர் இயக்க முடிந்தால், அது பக்கத்தின் நடத்தையை மாற்றலாம், இது தோற்றக் குறைபாட்டை விடப் பெரிய பிரச்சினை. படங்கள் வழியில் மாற்றப்பட்டால் சிறிய ஆனால் உண்மையான ஆபத்தைக் கொண்டுள்ளன. பூட்டு எதைப் பற்றியும் பொய் சொல்லவில்லை. நீங்கள் கேட்ட கேள்வியை விடக் குறுகிய கேள்விக்கு அது பதிலளிக்கிறது.

எந்த ஆதாரங்கள் தடுக்கப்படுகின்றன, எவை உயர்த்தப்படுகின்றன என்பதை அறியுங்கள்

உலாவிகள் ஒவ்வொரு வகை ஆதாரத்தையும் ஒரே மாதிரி கையாள்வதில்லை. கலப்பு உள்ளடக்க வழிகாட்டுதல் HTTPS-க்கு உயர்த்தப்படும் கோரிக்கைகளை முழுமையாகத் தடுக்கப்படும் கோரிக்கைகளிலிருந்து பிரிக்கிறது; ஸ்கிரிப்டுகள், பாணித் தாள்கள் மற்றும் நிரலாக்கக் கோரிக்கைகள் தடுக்கப்பட்ட பக்கத்தில் இருக்கின்றன, படங்களும் ஊடகங்களும் அதற்குப் பதிலாக உயர்த்தப்படலாம் அல்லது குறிக்கப்படலாம்.

இந்த வேறுபாடே குழப்பமான அறிக்கைகளை விளக்குகிறது. தடுக்கப்பட்ட ஸ்கிரிப்ட் உள்ள பக்கம் ஒரு அம்சத்தை முழுமையாக இழக்கிறது, உயர்த்தப்பட்ட படம் உள்ள பக்கம் நன்றாகத் தெரிகிறது, அமைதியாக அதன் கோரிக்கையை மாற்றியுள்ளது. ஆவணப்படுத்தப்பட்ட வகைகளுக்கு விதிவிலக்குகளும் உண்டு, எனவே கொடுக்கப்பட்ட வகையின் ஒவ்வொரு URL வெற்றிகரமாக உயர்த்தப்படும் என்று கருத வேண்டாம். கோப்பு நீட்டிப்பிலிருந்து பகுத்தறியாமல், குறிப்பிட்ட கோரிக்கை பற்றி கன்சோல் என்ன சொல்கிறது என்பதைப் படியுங்கள்.

தடுக்கப்பட்ட விட்ஜெட் சுரங்கப்பாதை தோல்வியடைந்ததற்கான ஆதாரம் அல்ல. உலாவி தன் வேலையைச் செய்ததற்கான ஆதாரம்.

குறிப்பை அதன் மூலத்தில் சரிசெய்யுங்கள்

தள உரிமையாளருக்கு, பழுதுநீக்கம் பாதுகாப்பற்ற URL எழுதப்பட்ட இடத்திற்கே உரியது: ஒரு வார்ப்புரு, பாணித் தாள், URLகளை இணைக்கும் ஸ்கிரிப்ட், அல்லது மூன்றாம் தரப்பு உறுப்பு. தெரியும் பக்க முகவரியை மாற்றுவது அவை அனைத்தையும் தொடாமல் விடுகிறது. மூலத்தில் ஹோஸ்ட்டைத் தேடி, கன்சோல் தற்செயலாகப் பெயரிட்ட ஒன்றை மட்டுமல்ல, ஒவ்வொரு குறிப்பையும் சரிசெய்யுங்கள்.

பின்னர் ஆதாரம் உண்மையில் செல்லுபடியாகும் அடையாளத்துடன் HTTPS வழியாக வழங்கப்படுகிறதா என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் திட்ட மாற்றம் அங்கு ஒருபோதும் வெளியிடப்படாத சேவையை உருவாக்க முடியாது.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

வழிமாற்றங்களையும் பின்தொடருங்கள், ஏனெனில் HTTPS உடன் தொடங்கும் குறிப்பும் எளிய உரை விநியோகப் பாதையில் இறங்கலாம். ஒரு சார்புக்கு பாதுகாப்பான விநியோகமே இல்லையென்றால், தீர்வை அனுப்புவதற்குப் பதிலாக வழக்கமான மாற்றச் செயல்முறை மூலம் அதை நீக்குங்கள் அல்லது மாற்றுங்கள். பயனருக்கு, உலாவிப் பாதுகாப்புகளை இயக்கத்தில் வைத்து தள உரிமையாளருக்கு ஆதாரத்தின் URL, அதன் வகை மற்றும் கன்சோல் செய்தியைத் தெரிவியுங்கள். ஒரு பக்கத்திற்காக ஊழியர்களைப் பாதுகாப்பற்ற உள்ளடக்கத்தை அனுமதிக்கச் சொல்லும் வழிமுறைகளை ஒருபோதும் பரப்ப வேண்டாம், ஏனெனில் அந்த விதிவிலக்கு அதைத் தூண்டிய சம்பவத்தை விட நீண்ட காலம் வாழ்கிறது.

பயனர்கள் பக்கத்தைத் தொடும் விதத்திலேயே மீண்டும் சோதியுங்கள்

தேவைக்கேற்ப ஆதாரங்களை ஏற்றும் செயல்பாடுகளைப் பயிற்சி செய்யுங்கள், முதல் ஆவணத்தை மட்டுமல்ல. பொத்தானை அழுத்திய பிறகு பக்கங்கள் கூடுதல் குறியீடு, தரவு மற்றும் பதிவிறக்கங்களைக் கொண்டு வருகின்றன, அந்தக் கோரிக்கைகளே பெரும்பாலும் பாதுகாப்பற்றவை. பாதுகாப்பு இயக்கத்தில் இருக்கும்போதே குறிப்பிட்ட கோரிக்கைகளையும் தெரியும் நடத்தையையும் உறுதிப்படுத்துங்கள். தளர்த்தப்பட்ட உலாவி சுயவிவரத்துடன் தொடங்கும் சோதனை சாதாரண பயனர் என்ன பார்க்கிறார் என்பதைக் காட்ட முடியாது.

சுரங்கப்பாதைக்கு இன்னும் அதன் சொந்த வேலை உள்ளது, அந்த வேலை பிணைய அணுகல், பக்கத்தின் நேர்மை அல்ல.

போக்குவரத்து சுரங்கப்பாதையின் இறுதிப் புள்ளியை விட்டு வெளியேறிய பிறகு, மீதமுள்ள எந்த HTTP பெறுதலும் கடத்தியிடமிருந்து எதையும் பெறவில்லை. ஆதாரத்தின் பாதையைச் சரிசெய்து, உலாவி நடைமுறைப்படுத்தலை அதன் இடத்தில் வைத்திருங்கள். பாதுகாப்பற்ற சார்புக்கான பழுதுநீக்கமாக மற்றொரு போக்குவரத்து அடுக்கைக் கருதுவதே, சரியாக வேலை செய்த கட்டுப்பாட்டை முடக்கும் ஒரு உதவி மேசை ஸ்கிரிப்டை ஒரு குழு அடைவதற்கான வழி.