Генератор
хешей SRI
Генерируйте и проверяйте хеши Subresource Integrity (SRI) (SHA-256, SHA-384, SHA-512) для скриптов и таблиц стилей для защиты от атак на цепочку поставок CDN.
Генератор SRI-хешей (Subresource Integrity) и защита CDN-ресурсов
Защитите свою веб-платформу от взлома CDN и манипуляций с цепочкой поставок. Наш SRI-генератор вычисляет криптографические дайджесты для внешних файлов JavaScript и CSS и предоставляет готовые к копированию HTML-теги.
Подробное руководство: освоение, внедрение и обеспечение безопасности Subresource Integrity (SRI)
01Что такое Subresource Integrity (SRI) и почему это критически важно?
Subresource Integrity (SRI) — это рекомендация по безопасности W3C, позволяющая веб-браузерам проверять, что внешние ресурсы (такие как библиотеки JavaScript или таблицы стилей CSS), загруженные из сторонних CDN, не были злонамеренно изменены или скомпрометированы. При использовании CDN вроде jsDelivr, cdnjs или unpkg веб-сайты доверяют сторонней инфраструктуре. Если CDN взломан или скрипт скомпрометирован (как в случае с атакой на цепочку поставок Polyfill.io), браузер использует SRI для сравнения криптографического хеша загруженного файла с атрибутом. Если хеши не совпадают точно, выполнение немедленно блокируется, защищая ваших конечных пользователей.
02Почему W3C рекомендует SHA-384 для SRI-хешей?
Спецификация SRI поддерживает алгоритмы SHA-256, SHA-384 и SHA-512. W3C настоятельно рекомендует **SHA-384** в качестве стандартной базовой линии, поскольку он обеспечивает оптимальный баланс между высокой устойчивостью к коллизиям (384-битный дайджест) и минимальным избыточным весом длины строки в HTML-тегах. Браузеры всегда отдают приоритет валидации с использованием сильнейшего алгоритма, объявленного в атрибуте.
03Почему атрибут crossorigin='anonymous' является обязательным для SRI?
Когда ресурс загружается с кросс-доменного хоста, применяется политика CORS браузера (Same-Origin Policy). Без него браузер запрашивает файл в режиме No-CORS, что мешает движку JavaScript считывать потоки «сырых» байтов для криптографической проверки. В режиме No-CORS проверка SRI автоматически завершается ошибкой и блокирует скрипт. Более того, удаленный сервер CDN должен отдавать HTTP-заголовок.
04Как SRI защищает от атак Magecart и веб-скимминга?
Злоумышленники Magecart нацелены на сторонние скрипты на платформах электронной коммерции и SaaS для внедрения кода скиминга платежей в воронки оформления заказа. При наличии строгих SRI-хешей любое несанкционированное изменение ресурса CDN делает хеш недействительным, заставляя браузеры отказываться от его выполнения. В сочетании с политикой безопасности контента (CSP), содержащей, это образует непробиваемый эшелонированный барьер защиты.
05Как интегрировать SRI в современные инструменты сборки (Webpack, Vite, Next.js)?
Для статических сторонних библиотек используйте наш генератор SRI, чтобы напрямую получить HTML-теги. Для динамически объединяемых в бандлы частей приложения современные плагины сборщиков (такие как или ) автоматически вычисляют дайджесты SHA-384 во время шага сборки для продакшена и внедряют соответствующие хеши целостности в ваши манифесты сборки.
Как вы оцениваете этот инструмент?
Пока нет отзывов. Будьте первым, кто оценит этот инструмент!
Связанные и рекомендуемые сетевые инструменты
Бесплатные инструменты для разработчиков и IT-специалистов для точного анализа без регистрации