← Client-side security / client-side-security
Как работает client-side security
Client-side security от Cloudflare помогает управлять клиентские ресурсы (включая скрипты и их соединения), загружаемые посетителями вашего веб-сайта, и обеспечивает видимость файлы cookie ↗ недавно обнаруженные в HTTP-трафике. Client-Side Security может отправлять уведомления, когда ресурсы изменяются или признаются вредоносными.
Client-side security работает, добавляя HTTP-заголовки Content Security Policy (CSP) к ответам вашего сайта. CSP представляет собой встроенный в браузер механизм, который определяет, какие ресурсы разрешено загружать странице и куда отправлять отчёты при нарушении политики. Cloudflare использует два типа заголовков CSP для разных целей:
- Для мониторинга ресурсов (скриптов и соединений)
- Чтобы применять правила безопасности контента или регистрировать их нарушения
Сравнение заголовков CSP
В следующей таблице сравниваются HTTP-заголовки CSP, используемые для мониторинга ресурсов и применения правил безопасности контента:
| HTTP-заголовок мониторинга ресурсов | HTTP-заголовки правил безопасности контента |
|---|---|
content-security-policy-report-only |
content-security-policy-report-only (правила Log)content-security-policy (правила Allow) |
| Автоматически: включено при включённом мониторинге | Вручную: создано на основе заданных вами правил |
| Добавляется к выборке HTML-ответов | Добавляется к 100% соответствующих ответов (без выборки) |
| Сообщает обо всех обнаруженных скриптах и подключениях | Директивы CSP формируются на основе вашего allowlist |
| Браузер отправляет отчёты о нарушениях в Cloudflare | Правила типа Log сообщают только о нарушениях Правила Allow блокируют неразрешённые ресурсы |
Заголовок, используемый для мониторинга ресурсов
При включении мониторинга ресурсов Cloudflare автоматически добавляет content-security-policy-report-only HTTP-заголовок к выборке HTML-ответов. Этот заголовок работает только в режиме отчётов и ничего не блокирует. Он использует директивы CSP, из-за которых браузеры формируют отчёты о нарушениях для обнаруженных скриптов и соединений. Сведения о формате заголовка приведены в Формат HTTP-заголовка CSP.
На основе этих отчётов Cloudflare формирует список всех скриптов, работающих в вашем приложении, и соединений, которые они устанавливают со сторонними конечными точками. Cloudflare также отслеживает входящий и исходящий HTTP-трафик на предмет файлов cookie, независимо от того, устанавливает ли их исходный сервер или браузер посетителя.
Пока мониторинг ресурсов включён, отключить заголовок мониторинга нельзя. Поскольку этот заголовок добавляется только к части ответов, может возникнуть небольшая задержка между развёртыванием скрипта или cookie-файла и отображением его данных на панелях мониторинга ресурсов.
На панели управления мониторингом ресурсов на стороне клиента отображается список активен скриптов, подключений и cookie. All Reported Scripts и All Reported Connections панели соответственно показывают полный список обнаруженных скриптов и соединений в вашем домене, включая редкие и неактивные.
Заголовки, связанные с правилами безопасности контента
При создании правила безопасности контента, Cloudflare формирует директивы CSP на основе ваших правил разрешения и логирования:
- Правила типа Log добавляет директивы к
content-security-policy-report-onlyHTTP-заголовок, сообщая о нарушениях без блокировки ресурсов. - Правила Allow добавляет директивы к
content-security-policyHTTP-заголовок, активно блокируя ресурсы, отсутствующие в вашем списке разрешений.
В отличие от заголовков, которые используются для мониторинга ресурсов, эти HTTP-заголовки применяются только к ответам, соответствующим выражению, заданному в каждом правиле, и добавляются во все такие ответы, а не выборочно. Вы полностью управляете этими заголовками через свой правила безопасности контента конфигурации.
Клиенты с тарифом Client-Side Security Advanced получают доступ к дополнительным механизмам классификации на основе фидов аналитики угроз, которые определяют, является ли скрипт или установленное им соединение вредоносным. Подробнее см. Обнаружение вредоносных скриптов и подключений.
Подробнее
Дополнительные сведения о Client-Side Security и мониторинге ресурсов см. в нашей запись в блоге ↗.