LW IT Solutions

Kontrola pochodzenia zasobów i Subresource Integrity: skąd strona ładuje i czemu ufa

Strona rzadko bywa pojedynczym plikiem. Skrypty, arkusze stylów, obrazy i ramki skądś pochodzą, a każde źródło to podmiot widzący adres IP odwiedzającego, kolejne połączenie do otwarcia — a przy skryptach i arkuszach kod działający z pełnymi prawami strony. Ta kontrola czyta kod raz i porządkuje znalezione elementy według pochodzenia, protokołu i integralności.

Z tego serwera: dokładnie jedno zapytanie o stronę, z limitem 1,5 MB. Żaden z doładowywanych plików nie jest pobierany. Żadne ciasteczka nie są wysyłane, żadne skrypty nie są wykonywane, nic nie jest zapisywane poza stanem licznika.

Granice, które warto znać: widoczne jest tylko to, co stoi w dostarczonym HTML. To, co skrypt doładuje w trakcie działania — zwykły przypadek przy menedżerach tagów i narzędziach zgód — pozostaje niewidoczne, podobnie jak wszystko wewnątrz ramki. Dwa hosty liczą się jako ten sam podmiot, gdy zgadza się ich rejestrowalna nazwa; poddomena CDN tej samej domeny nie jest więc liczona jako obca.

OTHER TOOLS