Enterprise
Обзор
Обычно ваш сайт загружает виджет Asyntai по единому URL-адресу, поэтому, когда мы выпускаем обновление, все получают его при следующей загрузке страницы. Именно этого хотят большинство клиентов. Но если вы управляете регулируемым сайтом и не можете допустить, чтобы сторонний код изменялся на ваших продакшн-страницах без проверки, вы можете вместо этого привязать свою интеграцию к конкретной версии. Виджет замораживается ровно в том виде, в каком он был на момент закрепления, а ваш встраиваемый код содержит хеш целостности, чтобы браузер сам проверял файл.
Как это работает
- Вы включаете закрепление - мы делаем снимок текущего виджета в приватную замороженную копию только для вашего сайта
- Вы получаете встраиваемый код с проверкой целостности - готовый к вставке тег скрипта с хешем Subresource Integrity и URL-адресом конкретной версии
- Наши развёртывания перестают достигать вашего сайта - замороженная копия не меняется, поэтому ничто из выпускаемого нами не изменяет ваш продакшн-код
- Вы обновляете, когда сами решите - одно нажатие делает снимок последней версии и выдаёт новый хеш; вы вставляете новый фрагмент, когда будете готовы
Мы развёртываем обновление Игнорируется
Ваш сайт продолжает работать Закреплённая версия
Что такое хеш Subresource Integrity?
Это функция безопасности браузера. Ваш тег скрипта включает атрибут integrity, содержащий хеш точного файла. Перед запуском файла браузер хеширует то, что он загрузил, и сравнивает. Если отличается хотя бы один байт — из-за подмены файла или компрометации сети — браузер откажется его запускать. Это стандартная защита от атаки на цепочку поставок для сторонних скриптов.
Что охватывает хеш
Хеш целостности проверяет файл кода виджета. Актуальные данные, которые виджет затем загружает — ваши настройки, товары и сообщения — передаются по отдельным защищённым соединениям и не входят в хеш. Это нормально: хеш защищает код, а именно на него нацелена атака на цепочку поставок.
Как включить
- Откройте страницу закрепления версии виджета в панели управления
- Включите его — ваш замороженный фрагмент появится немедленно
- Замените текущий тег скрипта Asyntai на закреплённый, включая атрибуты integrity и crossorigin точно так, как показано
Принятие обновления
Когда мы выпускаем новую версию, ваша панель управления показывает, что доступно обновление. Вы просматриваете его, нажимаете «Обновить», чтобы сделать снимок последней версии, и вставляете новый фрагмент на свой сайт. Поскольку хеш целостности меняется вместе с кодом, обновление всегда означает замену тега скрипта — это сделано намеренно и именно это сохраняет честность проверки.
Полезно знать
- Ничего не меняется без вас - закреплённый сайт не затрагивается нашими развёртываниями, пока вы не примете обновление
- Вы можете пропустить улучшения и исправления - закрепление означает, что новые функции и исправления ошибок не дойдут до вас, пока вы не обновитесь
- Мы уведомим вас об обновлениях безопасности - поскольку закреплённые виджеты не обновляются автоматически, мы свяжемся с вами, если вашей закреплённой версии потребуется исправление безопасности
- Атрибут crossorigin обязателен - Subresource Integrity работает только тогда, когда тег скрипта включает атрибут crossorigin; сохраните его точно так, как показано
- Отключение - переключает вас обратно на всегда актуальный встраиваемый код; замените закреплённый тег скрипта на стандартный
Примечание: Закрепление версии виджета входит в состав корпоративного соглашения. Напишите на [email protected], и мы всё вам расскажем.