Defaults.Exposed › Popravki › Glave za izolacijo med izvori (COOP / CORP / COEP)

Kako popraviti Glave za izolacijo med izvori (COOP / CORP / COEP)

Tri neobvezna navodila brskalnika, ki nadzorujejo, kako so druga spletna mesta dovoljena pri interakciji z vašim — odpiranje v pojavnih oknih, vdelava vaših slik in skript ali vlečenje vaših virov na njihove strani. So moderna utrditev, ne osnovna nujnost, in pri našem točkovanju so informativne: njihova odsotnost ne zniža vaše ocene. A dve varni zapreta tiho phishing v pojavnih oknih in vrzel kraje pasovne širine, in skrbna IT ekipa kupca bo opazila, ko sta prisotni.

Bistvo za vaše podjetje: Dve od teh treh glav zaustavljata sofisticirani phishing v pojavnih oknih in preprečujeta drugim stranem, da neposredno vdelujejo vaše slike in skripte (kar stane pasovno širino in lahko pušča podatke). Sta brezplačni, razvijalcu vzameta okoli 15 minut in ničesar ne bosta pokvarili. Tretja je napredna in lahko pokvari analitiko, pisave in vdelave — večina podjetij jo pusti izklopljeno. Nobena od treh ne vpliva na vašo oceno, zato ju obravnavajte kot polituro, ne paniko: naredite dve varni, preskočite tvegano, razen če jo posebej potrebujete.

Kaj vas to lahko stane

• Prevarant odpre vaše pravo spletno mesto v pojavnem oknu in ohrani nadzor nad njim — tiho preusmerja stranko na lažno prijavo v trenutku, ko pogle stran. Varna glava (COOP) ta nadzorni kanal popolnoma odreže.
• Druga spletna mesta neposredno vdelujejo vaše fotografije produktov, logotipe in skripte iz vašega strežnika (hotlinking) — za pasovno širino plačate vsakič, ko njihovi obiskovalci naložijo stran, in vaše premoženje se pojavlja na straneh, ki jih nikoli ne bi odobrili.
• IT ekipa naročnika opravi pregled glave pred podpisom in vidi, da ste dodali moderno medizvorišče utrjevanje — majhen signal, a vas postavi v stolpec 'to jemljejo resno' namesto 'golo minimum'.
• Razvijalec, ki želi biti temeljit, vklopi napredno izolacijsko glavo (COEP) brez testiranja — in čez noč pokvari vaš Google Analytics, spletne pisave in vdelani widget za rezervacije. Vedeti, katera glava je varna in katera tvegana, prepreči samopovzročen izpad.
• Revizorjev seznam omenja medizvorišče izolacijo; raje bi pokazali 'prisotno in pravilno' za dve varni, kot razlagali, zakaj ni sploh ničesar.

Zakaj je to pomembno. To so napredne glave utrjevanja brskalnika. Po naši metodologiji so vse tri informativne — registrirane so z nič točkami in nikoli ne premaknejo vaše ocene — ker so napredni nadzorni elementi, brez katerih stran legitimno deluje, eden pa lahko naredi škodo, če je napačno uporabljen. Poročamo o njih, da vidite, kje stojite. Dve varni (COOP in CORP) je resnično vredno dodati: brezplačni, hitri in zapreta pravi phishing v pojavnih oknih in vrzeli kraje virov brez pokvaritve česarkoli.

Kaj to je v preprostem jeziku

Ko nekdo obišče vašo spletno stran, njihov brskalnik ne naloži le vaših strani v izolaciji — prav tako odloča, kako so druge spletne strani dovoljene pri interakciji z vašo. Ali sme druga stran odpreti vašo stran v pojavnem oknu in jo zadržati? Ali sme druga stran poseči in vdelati vaše slike in skripte v svoje strani? Ali sme vaša lastna stran varno uporabljati določene zmogljive, zaklenjene brskalniške funkcije?

Te tri glave so kratka, nevidna navodila, ki jih vaša spletna stran pošlje brskalniku vsakega obiskovalca, da odgovorijo natanko na ta vprašanja. Znane so po inicialkah:

• COOP — Cross-Origin-Opener-Policy. Nadzoruje, ali smejo druge strani, ki odprejo vašo v pojavnem oknu, ohraniti nadzor nad njo.
• CORP — Cross-Origin-Resource-Policy. Nadzoruje, ali smejo druge strani vdelati vaše slike, skripte in druge datoteke v svoje strani.
• COEP — Cross-Origin-Embedder-Policy. Napreden nadzorni element, ki v kombinaciji z COOP “izolira” vašo stran, da varno uporablja določene zmogljive brskalniške funkcije.

Dve od njih (COOP in CORP) je varno dodati in resnično koristni. Tretja (COEP) je napredna in lahko pokvari stvari, če je vklopljena brezskrbno.

Najpomembnejša stvar za vedeti na začetku: pri našem točkovanju so vse tri informativne. Ne vplivajo na vašo oceno. Manjkajoča vas ne stane nič. O njih poročamo, da vidite, kje stojite in pospravite lahke zmage — ne da bi se panično ukvarjali s številko.

Kaj vas to lahko stane

To so nišna tveganja, ne naslovna — a so resnična in popravki so brezplačni.

• Phishing v pojavnih oknih, ki ohrani nadzor nad vašo pravo stranjo. Brez COOP napadalčeva stran sme odpreti vaše pravo spletno mesto v pojavnem oknu in nanj ohraniti živo sklico. Medtem ko je strankina pozornost na napadalčevi strani, jo napadalec preusmeriti — vaša prava domena v naslovni vrstici — na lažno prijavno ali plačilno zaslon v točnem trenutku, ko se stranka vrne k njemu. COOP, nastavljen na “same-origin”, odreže ta nadzorni kanal, tako da pojavnim oknom ni mogoče upravljati.

• Druge strani kradejo vašo pasovno širino (in postavljajo vaše premoženje tam, kamor ne sodite). Brez CORP sme katero koli spletno mesto na internetu neposredno vdelati vaše fotografije produktov, logotipe, skripte in druge datoteke iz vašega strežnika — “hotlinking”. Vsak obiskovalec njihove strani prenese datoteko od vas, na vašem računu za pasovno širino, z vašim premoženjem v kontekstu, ki ga nikoli niste odobrili. CORP, nastavljen na “same-origin”, prepreči zunanjim stranem, da vdelujejo vaše vire.

• Tiha pot puščanja podatkov za napredne napade brskalnika. Ista medizvorišče vdelava, ki omogoča hotlinking, je prav tako ena od poti, ki jih sofisticirani, stransko-kanalni napadi na brskalnik (družina Spectre) uporabijo za branje podatkov, ki jih ne bi smeli. COOP in CORP skupaj to pot zapreta na ravni brskalnika. Za večino majhnih podjetij je to preventiva, a brezplačna preventiva.

• Samopovzročen izpad od napačne glave. Napredna COEP zahteva, da vsak vir, ki ga stran naloži, eksplicitno opt-ina. Vklopite jo brez testiranja in vaša analitika, spletne pisave, vdelani zemljevidi, widgeti za rezervacije in skripte tretjih oseb se lahko vse prenehajo nalagati — ker nobeden ni bil povabljen k opt-inu. To je edini način, na katerega vam te glave dejansko škodijo, in se ji je povsem mogoče izogniti: ne vklopite COEP brez testiranja.

• Zamujeni lahki signal skrbnim kupcem. Ko IT ekipa naročnika pred podpisom skenira vaše glave, je odkritje modernega medizvorišče utrjevanja majhen, a pravi “ti ljudje jemljejo varnost resno” signal. Posla sam po sebi ne bo dobil — a je brezplačno imeti na pravi strani tega evidenčnega lista.

Kaj vsak dejansko je

COOP — Cross-Origin-Opener-Policy (varen, priporočen)

Ko druga spletna stran odpre vašo prek pojavnega okna ali window.open, si oba okna navadno ohranita sklico drug na drugega. Ta kanal je mogoče zlorabiti: odpirač sme manipulirati ali preusmeriti vaše okno, brati odlomke URL-ja in izvesti prepričljiv phishing z vašo pravo domeno. COOP: same-origin to razmerje prekine — vaše okno postane izolirano od česarkoli, ki ga je odprlo prek izvorov. Normalno brskanje, vaše lastne notranje povezave in navigacija niso prizadete.

Kako izgleda “dobro”: Cross-Origin-Opener-Policy: same-origin.

CORP — Cross-Origin-Resource-Policy (varen, priporočen)

Privzeto so vaše slike, skripte in druge datoteke vdelavane s strani katerekoli strani kjerkoli. CORP: same-origin brskalniku naroči, da zavrne medizvorišče vdelavo vaših virov — tako da tuje strani ne morejo hotlinkati vašega premoženja ali ga vlečiti v svoje strani. Vaša lastna stran še vedno naloži lastne vire natanko tako kot prej; blokirane so le zunanje strani.

Kako izgleda “dobro”: Cross-Origin-Resource-Policy: same-origin. (Če namerno objavljate premoženje, ki ga drugi vdelajo — javni logotip, odprt API — vaš razvijalec to sprosti samo v tistih specifičnih odzivih.)

COEP — Cross-Origin-Embedder-Policy (napreden, navadno pustite izklopljeno)

COEP zaključi “medizvorišče izolacijo”: v kombinaciji z COOP zahteva, da vsak vir, ki ga stran naloži, eksplicitno opt-ina (prek CORS ali CORP). Pravilno narejena, to odklene določene zmogljive brskalniške funkcije (kot SharedArrayBuffer) in doda drug sloj proti napadom razreda Spectre. A ker zahteva opt-in od vsega, kar naložite, zlahka pokvari orodja tretjih oseb — analitiko, pisave, vdelane widgete — ki niso bila zgrajena za opt-in. Večina spletnih mest ne potrebuje funkcij, ki jih odklene, in ne bi smela nositi tveganja pokvaritve.

Kako izgleda “dobro”: za redko stran, ki jo potrebuje, Cross-Origin-Embedder-Policy: credentialless — varnejša vrednost, manj verjetno, da pokvari zunanje vire, kot require-corp. Za vse ostale je odsotna v redu in naše poročilo vas za to ne bo kaznovalo.

Kako to popraviti (brezplačno, ~15 minut)

Posredujte to vaši IT osebi ali spletnemu razvijalcu — popravek je brezplačen. Dodajanje COOP in CORP je par enolinski nastavitev na vašem strežniku ali CDN-u; ni licence in ni tekočih stroškov. Edino navodilo za lastnika: naredite dve varni in ne vklopite COEP brez testiranja.

To so glave odziva, nastavljene kjerkoli so odgovori vaše strani proizvajani — najlažje na vašem CDN-u (npr. Cloudflare), če ga imate, sicer v konfiguraciji spletnega strežnika.

Dve varni glavi (priporočeni za vse)

Cloudflare — Pravila → Pravila preoblikovanja → Spremi glavo odziva → Nastavi:

• Cross-Origin-Opener-Policy = same-origin
• Cross-Origin-Resource-Policy = same-origin

Nginx:

add_header Cross-Origin-Opener-Policy   "same-origin" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

Apache:

Header always set Cross-Origin-Opener-Policy   "same-origin"
Header always set Cross-Origin-Resource-Policy "same-origin"

Te je varno dodati in ne bosta pokvarili normalne funkcionalnosti. Po deployment naložite nekaj strani in potrdite, da se stran obnaša natanko tako kot prej (tako bi moralo biti).

Napredna glava (le če jo posebej potrebujete)

Ne vklopite tega brez predhodno testiranja v staging okolju. COEP lahko pokvari analitiko, pisave in vdelane widgete.

Cloudflare: Pravila preoblikovanja → Nastavi Cross-Origin-Embedder-Policy = credentialless.

Nginx:

add_header Cross-Origin-Embedder-Policy "credentialless" always;

Uporabite credentialless namesto require-corp — manj verjetno, da pokvari zunanje vire. Temeljito testirajte v staging okolju; opazujte, ali katera skripta tretjih oseb, pisava ali vdelava preneha nalagati. Če se kaj pokvari in dejansko ne potrebujete funkcij, ki jih COEP odklene, preprosto odstranite glavo — za njeno odsotnost ni kazni.

Opombe za platforme

• Google Workspace / Microsoft 365: ti poganjata vašo e-pošto, ne vašo spletno stran, zato tukaj ni ničesar za nastaviti. Te glave sodijo k tistemu, kar gostuje vašo spletno stran (vaš CDN, gostitelj ali strežnik).
• Pogosti upravljani gostitelji / gradniki strani (Wix, Squarespace, Shopify in podobni): glave odziva po meri morda niso nastavljive pri nižjih planih. Če jih ne morete dodati, je to v redu — so informativne in ne vplivajo na vašo oceno. Postavljanje vaše strani za CDN, kot je Cloudflare, je navaden način za pridobitev nadzora nad glavami.
• WordPress na lastnem gostovanju: nastavite jih v konfiguraciji spletnega strežnika (Nginx/Apache zgoraj) ali prek CDN-a, ne prek vtičnika, kjer je mogoče — raven strežnika/CDN-a je čistejša in se nanaša na vsak odziv.

Pogoste napake

• Vklop COEP “da bi bil temeljit” in pokvaritev strani. To je velika napaka. COEP zahteva opt-in od vsega, kar naložite; vklopite ga brez testiranja in vaša analitika, pisave in vdelave lahko izginejo. Če ne potrebujete brskalniških funkcij, ki jih odklene, ga ne nastavljajte.**
• Obravnavanje teh kot nujnih, ker jih je omenjal skener. So informativne. Ocenjene spletne glave (HTTPS, HSTS, CSP, clickjacking, MIME-sniffing) pridejo na vrsto najprej — popravite tiste pred porabljanjem energije tukaj.
• Nastavitev CORP prestrogo, ko dejansko objavljate vdelavno premoženje. Če namerno servirate logotip, značko ali API za druge strani, bo splošen same-origin CORP blokiral te. Sprostite ga le na tistih odzivih namesto opuščanja glave povsod.
• Dodajanje glave na ravni strani/aplikacije in izpustitev nekaterih odzivov. Nastavite jih na ravni strežnika ali CDN-a, da se nanašajo na vsak odziv (slike, skripte, točke API), ne le na HTML strani.
• Zamešanje z SSL ključavnico. HTTPS šifrira zvezo; te nadzorujejo medizvorišče interakcijo. Sta nepovezani in hočete oba.

Opomba o oceni

Da bom popolnoma jasen: nobena od teh treh pregledov ne vpliva na vašo oceno. So registrirani v naši metodologiji kot informativni, z nič točkami, in manjkajoča nikoli ne stane nič. Jih izpostavimo, ker sta dve varni poceni, pristni izboljšavi in ker je videnje celotne slike koristno — ne ker je treba braniti neko število. Če tukaj ne naredite ničesar, je vaša ocena natanko enaka. Če dodate COOP in CORP, ste brezplačno zaprli par realnih (čeprav nišnih) vrzeli. To je pravi način branja te strani: neobvezna politura z eno jasno označeno pastjo za izogniti se.

Pogosta vprašanja