margau
Vogelsberg (520m)
- Registriert
- 03. Feb. 2012
- Beiträge
- 949
- Reaktionspunkte
- 204
Hallo,
Wir erlauben nur die Mime-Types von Bildern -> Scripts sollten nicht durchkommen, wir Filtern da extra nochmal.
Hier geht es insbesondere auch um Cookies und Zugangsdaten, mit denen man - einmal geklaut - viel böses anstellen könnte.
HTTPS ist mittlerweile einfach Standard (siehe auch DSGVO).
Viele Grüße
margau
NeusserGletscher schrieb:Ist das am Ende vielleicht sogar kontraproduktiv? Wie viele andere auch nutze ich scriptblocker, die url basierend sind. Wenn aber nun alles durch den AF Proxy geschleust wird, dann kann der Blocker nicht mehr fremde und möglicherweise kompromittierte Inhalte blocken.
Wir erlauben nur die Mime-Types von Bildern -> Scripts sollten nicht durchkommen, wir Filtern da extra nochmal.
Schau ich mir nochmal an, bisher werden nur die Bilder angepasst.starli schrieb:Die [ youtube ] - Links werden noch mit http:// ausgegeben.
Naja, ist https, und wir Filtern nach Mime-Typ. Der Nutzer baut nurnoch indirekt eine Verbindung zu einem anderen Server auf, dazwischen Filtern wir auch nochmal nach Bildern raus.starli schrieb:- für die Sicherheit dürfte das m.E. eher egal sein bzw. evtl. sogar nachteilig, wenn ein "virenverseuchtes" Bild über eure https-Leitung kommt?
Aus diesem Grund machen wir kein wirkliches Caching, nur "durchleiten". Vielleicht wird es demnächst noch sehr kurzfristiges Caching geben (maximal in der Dimension Stunden)starli schrieb:- für euch dürfte es problematischer sein, weil ihr dann ggf. schneller kopiergeschützte Bilder auf dem Server habt; keine Ahnung wie das Image-Hoster sehen, aber evtl. hat da manch einer auch was dagegen, wenn die Bilder von einem anderen Server zwischengespeichert werden?
Nein, oder nur im Zeitraum von wenigen Minuten/Stunden.starli schrieb:- sind die Bilder dann auch eine Zeit lang online, wenn der echte Server offline ist? Also cached ihr die Bilder auch eine Zeit lang?
Ich beobachte die Antwortzeiten, aber das ist generell eine Vergleichsweise "simple" Aufgabe, die gut skaliert.starli schrieb:- für meinen Webserver wird das vmtl. weniger Traffic bedeuten, für euch dagegen viel, viel, viel mehr Traffic, ggf. wird die Bildladezeit dann auch für alle viel langsamer, wenn alles über euren Server geht ..
Wenn man heutzutage einen Admin/Webentwickler etc. fragt, ist https pflicht, für egal was. Siehe auch die neuste Entwicklung in Google Chrome.starli schrieb:- ich versteh natürlich den Sinn und die Notwendigkeit dieses image-proxy für die einfacheren User dahinter. Allerdings versteh ich nicht ganz die Notwendigkeit der Forums-Umstellung auf HTTPS - von den Login/Passwortändern-Seiten mal abgesehen wäre das doch komplett egal, ob so ein Bericht nun via http oder https geschrieben und angezeigt wird?! (Wohl nur für Safety-First-Paranoiker nötig. Obwohl, die findet man ja eh recht häufig im Ski-Umfeld. Siehe Sicherheitsbügeldiskussion, siehe Helmdiskussion ...)
Hier geht es insbesondere auch um Cookies und Zugangsdaten, mit denen man - einmal geklaut - viel böses anstellen könnte.
HTTPS ist mittlerweile einfach Standard (siehe auch DSGVO).
Viele Grüße
margau