Корпоративен
Преглед
Обикновено вашият сайт зарежда приспособлението на Asyntai от един URL адрес, така че когато издадем актуализация, всеки я получава при следващото зареждане на страницата. Това е, което повечето клиенти искат. Но ако управлявате регулиран сайт и не можете да допуснете код на трети страни да се променя на вашите продукционни страници без преглед, можете вместо това да фиксирате интеграцията си към конкретна версия. Приспособлението се замразява точно в байтовете, които е имало при фиксирането, а вграденият код носи хеш за цялост, така че самият браузър проверява файла.
Как работи
- Включвате фиксирането - правим моментна снимка на текущото приспособление в частно, замразено копие само за вашия сайт
- Получавате вграден код с проверена цялост - готов за поставяне таг за скрипт с хеш за Subresource Integrity и URL адрес за конкретна версия
- Нашите внедрявания спират да достигат до вашия сайт - замразеното копие никога не се променя, така че нищо, което издаваме, не променя вашия продукционен код
- Актуализирате, когато изберете - едно кликване прави моментна снимка на най-новата версия и издава нов хеш; поставяте новия фрагмент, когато сте готови
Внедряваме актуализация Игнорирано
Вашият сайт продължава да работи Фиксирана версия
Какво е хеш за Subresource Integrity?
Това е функция за сигурност на браузъра. Вашият таг за скрипт включва атрибут integrity, съдържащ хеш на точния файл. Преди да изпълни файла, браузърът хешира това, което е изтеглил, и го сравнява. Ако дори един байт се различава — защото файлът е бил подправен или мрежа е била компрометирана — браузърът отказва да го изпълни. Това е стандартната защита срещу атака по веригата на доставки върху скриптове на трети страни.
Какво покрива хешът
Хешът за цялост проверява файла с кода на приспособлението. Данните на живо, които приспособлението след това зарежда — вашите настройки, продукти и съобщения — пътуват през отделни, защитени връзки и не са част от хеша. Това е нормално: хешът защитава кода, което е целта на атака по веригата на доставки.
Как да го включите
- Отворете страницата за фиксиране на версията на приспособлението от таблото си за управление
- Включете го — вашият замразен фрагмент се появява незабавно
- Заменете текущия си таг за скрипт на Asyntai с фиксирания, включително атрибутите integrity и crossorigin точно както е показано
Приемане на актуализация
Когато издадем нова версия, таблото ви за управление показва, че е налична актуализация. Преглеждате я, кликвате върху „Актуализиране“, за да направите моментна снимка на най-новата версия, и поставяте новия фрагмент на сайта си. Тъй като хешът за цялост се променя заедно с кода, актуализирането винаги означава смяна на тага за скрипт — това е по замисъл и именно то поддържа проверката честна.
Добре е да знаете
- Нищо не се променя без вас - фиксиран сайт не е засегнат от нашите внедрявания, докато не приемете актуализация
- Може да пропуснете подобрения и корекции - фиксирането означава, че новите функции и корекции на грешки не достигат до вас, докато не актуализирате
- Ще ви уведомим за актуализациите на сигурността - тъй като фиксираните приспособления не се актуализират автоматично, се свързваме с вас, ако вашата фиксирана версия се нуждае от корекция на сигурността
- Атрибутът crossorigin е задължителен - Subresource Integrity работи само когато тагът за скрипт включва атрибута crossorigin; запазете го точно както е показано
- Изключване - връща ви обратно към винаги най-новия вграден код; заменете фиксирания таг за скрипт със стандартния
Забележка: Фиксирането на версията на приспособлението е част от корпоративно споразумение. Изпратете имейл на [email protected] и ще ви преведем през него.