← Client-side security / client-side-security
Jak funguje client-side security
Client-side security od Cloudflare pomáhá spravovat prostředky na straně klienta (které zahrnují skripty a jejich připojení) načtené návštěvníky vašeho webu, a poskytuje přehled o soubory cookie ↗ nedávno zjištěné v HTTP provozu. Client-Side Security může spouštět upozornění, když se prostředky změní nebo jsou považovány za škodlivé.
Client-side security funguje tak, že přidává hlavičky Content Security Policy (CSP) HTTP do odpovědí vašeho webu. CSP je mechanismus nativní pro prohlížeč, který určuje, jaké zdroje smí stránka načítat a kam odesílat hlášení, když některý zdroj poruší zásady. Cloudflare používá dva typy hlaviček CSP pro různé účely:
- Pro monitorování prostředků (skripty a připojení)
- Vynutit pravidla zabezpečení obsahu nebo protokolovat porušení těchto pravidel
Porovnání hlaviček CSP
Následující tabulka porovnává HTTP hlavičky CSP používané pro sledování prostředků a uplatňování pravidel zabezpečení obsahu:
| HTTP hlavička pro monitorování zdrojů | HTTP hlavičky pravidel zabezpečení obsahu |
|---|---|
content-security-policy-report-only |
content-security-policy-report-only (log rules)content-security-policy (allow rules) |
| Automaticky: aktivováno, když je monitorování zapnuté | Manuální: vytvořeno pomocí vámi definovaných pravidel |
| Přidáno do vzorku odpovědí HTML | Přidáno do 100 % odpovídajících odpovědí (bez vzorkování) |
| Hlásí všechny zjištěné skripty a připojení | Direktivy CSP pocházejí z vašeho allowlistu |
| Prohlížeč odesílá hlášení o porušeních do Cloudflare | Pravidla typu Log hlásí pouze porušení Pravidla typu Allow blokují nepovolené prostředky |
Hlavička používaná pro monitorování prostředků
Když zapnete monitorování zdrojů, Cloudflare automaticky přidá content-security-policy-report-only hlavičku HTTP ke vzorku odpovědí HTML. Tato hlavička určená pouze k hlášení nic neblokuje. Používá směrnice CSP, které prohlížečům zajistí generování hlášení o porušení pro zjištěné skripty a připojení. Podrobnosti o formátu hlavičky najdete v Formát HTTP hlavičky CSP.
Na základě těchto hlášení vytváří Cloudflare seznam všech skriptů běžících ve vaší aplikaci a spojení, která navazují s koncovými body třetích stran. Cloudflare rovněž monitoruje příchozí a odchozí HTTP provoz z hlediska souborů cookie, ať už je nastavil původní server, nebo prohlížeč návštěvníka.
Monitorovací hlavičku nelze vypnout, dokud je aktivní sledování prostředků. Protože se hlavička přidává jen k části odpovědí, může dojít ke krátkému zpoždění mezi nasazením skriptu nebo cookie a zobrazením jeho dat v dashboardech pro monitorování zdrojů.
Dashboard pro sledování prostředků na straně klienta zobrazuje seznam aktivní skripty, připojení a soubory cookie. Všechny nahlášené skripty a Všechna nahlášená spojení dashboardy zobrazují úplný seznam zjištěných skriptů a připojení ve vaší doméně, včetně těch málo častých a neaktivních.
Hlavičky související s pravidly zabezpečení obsahu
Když vytvoříte pravidla zabezpečení obsahu, Cloudflare vygeneruje direktivy CSP na základě vašich pravidel Allow a Log:
- Pravidla typu Log přidejte směrnice do
content-security-policy-report-onlyhlavičku HTTP, která hlásí porušení bez blokování zdrojů. - Pravidla typu Allow přidejte směrnice do
content-security-policyhlavičku HTTP, která aktivně blokuje zdroje neuvedené ve vašem seznamu povolených položek.
Na rozdíl od hlaviček používaných pro monitorování zdrojů se tyto hlavičky HTTP vztahují pouze na odpovědi odpovídající výrazu definovanému v jednotlivých pravidlech a nejsou vzorkovány. Nad těmito hlavičkami máte plnou kontrolu prostřednictvím svých pravidla zabezpečení obsahu konfigurace.
Zákazníci s Client-Side Security Advanced mají přístup k dalším klasifikačním mechanismům založeným na kanálech threat intelligence, které určují, zda je skript nebo připojení vytvořené skriptem škodlivé. Další informace najdete v Detekce škodlivých skriptů a připojení.
Zjistit více
Další informace o zabezpečení na straně klienta a monitorování prostředků najdete v našem blogový příspěvek ↗.