エンタープライズ
概要
通常、あなたのサイトはAsyntaiウィジェットを単一のURLから読み込むため、当社がアップデートを提供すると、次のページ読み込み時に全員に反映されます。これは多くのお客様が望むものです。しかし、規制対象のサイトを運営していて、本番ページ上でサードパーティのコードがレビューなしに変更されることを許容できない場合は、代わりに特定のバージョンに統合を固定できます。ウィジェットは固定した時点の正確なバイトで凍結され、埋め込みコードには完全性ハッシュが含まれるため、ブラウザ自身がファイルを検証します。
仕組み
- 固定をオンにする - 現在のウィジェットを、あなたのサイト専用のプライベートで凍結されたコピーとしてスナップショットします
- 完全性が検証された埋め込みコードを取得 - Subresource Integrityハッシュとバージョン固有のURLを備えた、すぐに貼り付けられるスクリプトタグ
- 当社のデプロイがあなたのサイトに届かなくなる - 凍結されたコピーは変更されないため、当社が提供するものが本番コードを変更することはありません
- アップデートは自分が選んだときに - ワンクリックで最新バージョンをスナップショットし、新しいハッシュを発行します。準備ができたら新しいスニペットを貼り付けてください
アップデートをデプロイ 無視
あなたのサイトは稼働し続けます 固定されたバージョン
Subresource Integrityハッシュとは？
これはブラウザのセキュリティ機能です。あなたのスクリプトタグには、正確なファイルのハッシュを保持するintegrity属性が含まれます。ファイルを実行する前に、ブラウザはダウンロードした内容をハッシュ化して比較します。改ざんやネットワークの侵害により1バイトでも異なる場合、ブラウザはその実行を拒否します。これはサードパーティスクリプトへのサプライチェーン攻撃に対する標準的な防御策です。
ハッシュがカバーする範囲
完全性ハッシュはウィジェットのコードファイルを検証します。その後ウィジェットが読み込むライブデータ（あなたの設定、商品、メッセージ）は、別の保護された接続を経由するため、ハッシュの一部ではありません。これは正常です。ハッシュはコードを保護するものであり、それこそがサプライチェーン攻撃の標的となるものだからです。
有効にする方法
- ダッシュボードからウィジェットのバージョン固定ページを開きます
- オンに切り替えると、凍結されたスニペットがすぐに表示されます
- 現在のAsyntaiスクリプトタグを、integrityおよびcrossorigin属性を表示どおり正確に含めて、固定されたものに置き換えます
アップデートの適用
新しいバージョンを提供すると、ダッシュボードにアップデートが利用可能であることが表示されます。内容を確認し、アップデートをクリックして最新バージョンをスナップショットし、新しいスニペットをサイトに貼り付けます。完全性ハッシュはコードとともに変わるため、アップデートは常にスクリプトタグの入れ替えを意味します。これは仕様であり、検証を確実に保つためのものです。
知っておくと便利
- あなたなしでは何も変わりません - 固定されたサイトは、あなたがアップデートを適用するまで当社のデプロイの影響を受けません
- 改善や修正を逃す可能性があります - 固定するということは、アップデートするまで新機能やバグ修正が届かないことを意味します
- セキュリティアップデートはお知らせします - 固定されたウィジェットは自動更新されないため、固定中のバージョンにセキュリティ修正が必要な場合はご連絡します
- crossorigin属性は必須です - Subresource Integrityはスクリプトタグにcrossorigin属性が含まれている場合のみ機能します。表示どおり正確に保持してください
- オフにする - 常に最新の埋め込みコードに戻ります。固定されたスクリプトタグを標準のものに置き換えてください