גרסת מקור לניסיון של רשימות היתרים לחיבור: הגנה על הרשת של אפליקציית האינטרנט

José Luis Zapata

תאריך פרסום: 16 באפריל 2026

אפליקציות אינטרנט הופכות למורכבות יותר, במיוחד עם העלייה בשימוש ב-AI גנרטיבי משולב, ולכן ההגנה על נתוני המשתמשים היא בראש סדר העדיפויות. לכן אנחנו מכריזים על גרסת מקור לניסיון של תכונה חדשה בשם Connection Allowlists (רשימות היתרים לחיבורים). זהו מנגנון אבטחה חדש שיוצר ארגז חול ברשת למסמכים ולעובדים.

רקע

במערכת אקולוגית מודרנית של האינטרנט, נתונים רגישים עוברים כל הזמן בין לקוחות ושרתים. הניידות הזו, בשילוב עם שרשרת אספקה מורכבת של סקריפטים של צד שלישי והשימוש הגובר בקוד שנוצר באופן דינמי על ידי AI גנרטיבי, מגדילים באופן משמעותי את הסיכון להעברת נתונים לא מורשית.

סקריפטים זדוניים, נקודות חולשה בספריות מאוגדות או התנהגויות לא מכוונות בקוד שנוצר על ידי AI גנרטיבי יכולים לעקוף בדיקות ברמת האפליקציה כדי לשלוח מידע רגיש לנקודות קצה לא מורשות. Content Security Policy ‏(CSP) הוא כלי רב עוצמה לשליטה במה שדף יכול לטעון ולהפעיל, אבל יכול להיות מאתגר לנהל את המורכבות שלו כדי להגביל באופן ספציפי את המקומות שדף יכול לתקשר איתם. לכן, לעיתים קרובות המדיניות רחבה מדי ומשאירה מקום לפעילות לא מורשית ברשת.

ארגז חול של רשימות היתרים לחיבור

רשימות ההיתרים לחיבור מספקות שיטה ישירה לטיפול בסיכונים האלה. הן הופכות את הדפדפן לשומר הסף של כל חיבורי הרשת שמקורם בדף שלכם. על ידי הכללת כותרת תגובת ה-HTTP‏ Connection-Allowlist, אתר מציין את דפוסי כתובות ה-URL המדויקים שמותרים לכל תקשורת הרשת שמתחילה מההקשר שלו, כמו מסמך או Web Worker.

התכונה הזו אוכפת חומת אש ברמת המסגרת עם הגדרה של 'דחייה כברירת מחדל'. לפני שנוצר חיבור כלשהו, למשל אחזור של משאב משני, הפניה אוטומטית של ניווט או חיבור WebSocket, הדפדפן מאמת את היעד מול רשימת ההיתרים. אם נקודת הקצה לא תואמת, הדפדפן חוסם את החיבור ברמת הרשת. הדפדפן שומר על גבולות הרשת גם אם קוד זדוני מנסה לעקוף את הלוגיקה ברמת האפליקציה.

איך פועלות רשימות ההיתרים לחיבורים

רשימות ההיתרים לחיבור מספקות שיטה ישירה לטיפול בסיכונים האלה. הן הופכות את הדפדפן לשומר הסף של כל חיבורי הרשת שמקורם בדף שלכם. על ידי הכללת כותרת תגובת ה-HTTP‏ Connection-Allowlist, אתר מציין את תבניות כתובות ה-URL המדויקות שמותרות לכל תקשורת הרשת שמתחילה מההקשר שלו. במהלך גרסת המקור לניסיון, היא נתמכת רק בהקשרים של מסמכים.

לפני שנוצר חיבור כלשהו, למשל אחזור של משאב משני, הפניה אוטומטית לניווט או חיבור WebSocket, הדפדפן מאמת את היעד מול רשימת ההיתרים. אם נקודת הקצה לא תואמת, הדפדפן חוסם את החיבור ברמת הרשת. כך מוודאים שגבולות הרשת נשמרים גם אם קוד זדוני מנסה לעקוף את הלוגיקה ברמת האפליקציה.

שימוש בטוקן response-origin

אפשר להשתמש בטוקן response-origin, שמוסיף באופן דינמי לרשימת ההיתרים את המקור שממנו מוגשת התגובה:

Connection-Allowlist: ("https://api.example.com/*" response-origin)

בדוגמה הזו, הדף יכול להתחבר לכל נתיב במקור שלו ולנקודת קצה ל-API שצוינה.

דיווח על הפרות

כדי לעקוב אחרי בעיות פוטנציאליות בלי לשבש את הפונקציונליות של האתר, אפשר להשתמש בכותרת Connection-Allowlist-Report-Only. הווריאנט הזה מנתח את המדיניות ושולח דוחות על הפרות לנקודת קצה שצוינה באמצעות Reporting API.

Connection-Allowlist: ("https://trusted.com/*"); report-to=security-endpoint

תרחישי שימוש עיקריים

רשימות היתרים לחיבורים שימושיות בסביבות דינמיות או בסביבות עם רמת אבטחה גבוהה:

  • AI גנרטיבי וקוד לא מהימן: אם האתר שלכם מאפשר למשתמשים להריץ קוד שנוצר או קוד לא מהימן, למשל, ב-Sheets Canvas או בארגזי חול לפיתוח, רשימות ההיתרים לחיבורים יכולות למנוע מהקוד להעביר נתונים לדומיינים חיצוניים.
  • פיקוח על צד שלישי: אתם יכולים לוודא שגם אם סקריפט של צד שלישי ייפרץ, הוא לא יוכל לשלוח נתונים לשרתים לא מורשים.
  • אמצעי הגנה ארכיטקטוניים: הגדרת גבולות רשת קפדניים לחלקים רגישים באפליקציה, כדי להבטיח תקשורת רק עם שרתים אחוריים מאושרים.

הבדלים מ-Content Security Policy

למרות שיש דמיון בין רשימות ההיתרים לחיבורים לבין CSP, הן משלימות זו את זו:

  • התמקדות ברמת הרשת: רשימות ההיתרים לחיבור מתמקדות ביעד של חיבורי הרשת, ולא באופן הטעינה או ההפעלה של משאב.
  • כיסוי מקיף: הוא מכסה ניווטים, הפניות אוטומטיות וממשקי API שונים של פלטפורמת האינטרנט, למשל Fetch,‏ WebRTC,‏ WebTransport,‏ DNS prefetch ו-preload, באופן מאוחד.
  • תחביר פשוט: רשימות ההיתרים לחיבור מתמקדות במשימה אחת, מה שמפשט את ההגדרה ואת בדיקת האבטחה.

ניסוי עם רשימות היתרים לחיבור

התכונה 'רשימות היתרים לחיבור' זמינה לבדיקות מקומיות. תקופת הניסיון של המקור מתוכננת לפעול מגרסה Chrome 148 עד גרסה Chrome 151. הפונקציונליות ממשיכה להתווסף ככל שגרסת המקור לניסיון מתקדמת. בתחילת תקופת הניסיון הזו, פונקציונליות הדיווח מוגבלת להקשרים של מסמכים. אין תמיכה ב-Dedicated, ב-Shared וב-Service Workers. פרטים נוספים על מה שנתמך מופיעים בקטע הרשמה לגרסת מקור לניסיון.

בדיקה מקומית

  1. מפעילים את הדגל: פותחים את Chrome ועוברים אל chrome://flags/#connection-allowlist. מגדירים את הדגל לערך Enabled (מופעל).
  2. פריסת הכותרת: מגדירים את שרת הפיתוח המקומי לשליחת כותרת תגובת ה-HTTP‏ Connection-Allowlist. לדוגמה, Connection-Allowlist: ("https://api.example.com/*" response-origin).
  3. אימות באמצעות כלי הפיתוח: פותחים את כלי הפיתוח ל-Chrome ומבצעים פעולות שמפעילות בקשות רשת.
    • החלונית Network: בודקים אם יש בקשות מסוג blocked:other או שגיאת חיבור.
    • בכרטיסייה בעיות: אם היו שגיאות בניתוח הכותרת, יופיעו דוחות מפורטים.

הרשמה לגרסת מקור לניסיון

בדיקות מקומיות הן מצוינות לפיתוח, אבל כדי להפעיל רשימות היתרים לחיבורים עבור המשתמשים שלכם בסביבת הייצור, תצטרכו להירשם לגרסת מקור לניסיון.

  1. עוברים אל מרכז הבקרה של גרסאות מקור לניסיון ב-Chrome.
  2. מחפשים את גרסת המקור לניסיון של Connection Allowlists ולוחצים על הרשמה.
  3. מוסיפים את האסימון שנוצר לדפים או לכותרות של האתר, כמו שמתואר במדריך איך מתחילים להשתמש בגרסאות מקור לניסיון.

גרסת המקור לניסיון מתוכננת לפעול מגרסה Chrome 148 עד גרסה Chrome 151. אנחנו ממשיכים להוסיף פונקציונליות במהלך תקופת הניסיון של גרסת המקור, ולכן מומלץ מאוד להמשיך להשתמש במנגנוני אבטחת האינטרנט הקיימים בזמן הבדיקה של רשימות ההיתרים לחיבורים. במאמר Intent to Experiment מפורטות נקודות הקצה ברשת שמכוסות על ידי הטמעה של רשימות היתרים לחיבורים.

שליחת משוב

שליחת משוב על העיצוב והשימושיות של התכונה. אם נתקלתם בבעיות או שיש לכם הצעות לשיפור, אתם יכולים לפנות לצוות:

מקורות מידע נוספים