Ce este Upgrade-Insecure-Requests?

Definiție Upgrade-Insecure-Requests

upgrade-insecure-requests este o directiva CSP care spune browserului sa transforme automat toate cererile HTTP (nesecurizate) in HTTPS. Este utila in tranzitia de la HTTP la HTTPS: chiar daca unele resurse sunt referentiate cu http://, browserul le incarca prin https:// automat. Previne problemele de mixed content fara a modifica codul.

De ce contează Upgrade-Insecure-Requests

Directiva CSP upgrade-insecure-requests instruieste browserul sa transforme automat toate cererile HTTP in HTTPS inainte de a le executa, functionand ca o plasa de siguranta pentru resursele care au ramas cu URL http://. Este esentiala in perioada de migrare la HTTPS cand sute de linkuri din baza de date pot referi inca resurse HTTP.

Cum verifici Upgrade-Insecure-Requests

SoftAudit verifica prezenta directivei upgrade-insecure-requests in antetul Content-Security-Policy sau in tag-ul meta echivalent. Testeaza eficacitatea ei prin identificarea resurselor HTTP din pagina si verificarea ca browserul le solicita efectiv prin HTTPS.

Greșeli frecvente

Bazarea exclusiv pe upgrade-insecure-requests fara a actualiza efectiv URL-urile in cod si baza de date creaza o dependenta permanenta de aceasta directiva. Directiva nu functioneaza pentru linkurile de navigare catre alte site-uri — doar pentru sub-resurse incarcate in pagina (imagini, scripturi, stiluri).

Bune practici

Foloseste upgrade-insecure-requests ca masura temporara in timpul migrarii HTTPS si actualizeaza progresiv toate URL-urile din baza de date la https://. Combina cu block-all-mixed-content ca fallback si monitorizeaza rapoartele CSP pentru a identifica resursele care inca necesita upgrade.

Întrebări frecvente

Termeni asociați