Веб-защита по слоям: прокси, файлы cookie и политика браузера

Завершение TLS заканчивает соединение с клиентом. Сквозная защита требует отдельно защитить каждый обязательный участок, включая участок от прокси до источника.

Обратный прокси принимает запрос как сервер и отправляет новый как клиент; окончательный ответ всё равно формирует исходный сервер.

Пересылаемые метаданные становятся доверенными только внутри известной границы прокси, где копию клиента удаляют или перезаписывают. Host проверяют по списку разрешённых значений.

Прокси отдельно аутентифицирует источник в восходящем TLS-соединении; внешний сертификат браузера не доказывает идентичность внутреннего сервера.

Сеанс HTTP хранит состояние безопасности на сервере, а непрозрачный файл cookie сеанса переносит непредсказуемый идентификатор, а не обязательно всё состояние.

Secure ограничивает передачу, HttpOnly — чтение скриптом, SameSite — отправку между сайтами. Ни один атрибут не заменяет два других.

Чтобы не допустить фиксацию сеанса, идентификатор создаётся заново после входа и изменения привилегий, а предыдущий идентификатор уничтожается.

Выход закрывает сеанс на сервере и очищает файл cookie; тайм-аут бездействия, абсолютный тайм-аут и экстренный отзыв остаются отдельными путями жизненного цикла.

Политика одного источника использует схему, хост и порт. CORS выборочно открывает ответ другому источнику, но не аутентифицирует вызывающую сторону и не выдаёт право на объект.

Предварительный запрос CORS — согласование OPTIONS в браузере для части запросов. Простые запросы обходятся без него, поэтому предварительный запрос не является общей защитой от CSRF.

XSS превращает непроверенные данные в код доверенного источника. Контекстное кодирование вывода и безопасные точки вывода исправляют границу; CSP с отдельным одноразовым значением для каждого ответа добавляет второй слой.

CSRF заставляет браузер отправить нежелательное аутентифицированное действие. Сервер проверяет секретный токен CSRF; SameSite и проверки Origin остаются эшелонированной защитой.

Проверка входных данных контролирует тип, синтаксис, диапазон и бизнес-смысл. Ограничение тела запроса отдельно ограничивает нагрузку до тяжёлого разбора.

SSRF возникает, когда серверная часть сама обращается к назначению, заданному атакующим; SOP браузера и CORS не ограничивают такой запрос со стороны сервера.

Список разрешённых исходящих направлений сверяет схему, хост, порт и разрешённый IP и запрещает автоматические перенаправления к новому назначению.

WAF фильтрует часть шаблонов во время выполнения и полезен как компенсирующий слой, но не исправляет небезопасную точку вывода, недействительный контракт или авторизацию бизнес-операции.