polyfill.io والسكربتات التي تحمّلها من غرباء
أكثر من 100 ألف موقع نشرت برنامجًا خبيثًا لأنها تحمّل سكربتًا من نطاق تغيّر مالكه. افحص صفحاتك.
هذا الأسبوع، بدأت المواقع التي تحمّل سكربتًا من polyfill.io في تحويل بعض زوار الموبايل إلى صفحات احتيال. النطاق كان قد بيع في وقت سابق من العام، والمالك الجديد غيّر الكود. أكثر من 100 ألف موقع تأثرت، دون أن تغيّر هي أي شيء.
كل <script src="https://someone-else.com/..."> في موقعك يسمح لذلك النطاق بتشغيل كود في صفحاتك، بجلسات زوارك. أنت تثق في مالك النطاق اليوم، وفي من سيملكه العام القادم.
ما أفحصه:
- اكتب قائمة بكل سكربت خارجي في صفحاتك: التحليلات، وأدوات المحادثة، والخطوط، وشبكات CDN، واختبارات A/B.
- احذف ما لا تحتاجه. نادرًا ما تحتاج المتصفحات الحديثة الـpolyfills القديمة.
- استضف الباقي بنفسك حيث يسمح الترخيص. هكذا لا يتغير الإصدار إلا عندما تغيّره أنت.
- للسكربتات التي يجب أن تبقى خارجية، أضف Subresource Integrity (خاصية
integrity) فيُمنع الملف إذا تغيّر. - أضف Content-Security-Policy تحدد النطاقات المسموح لها بتشغيل السكربتات.
إن كنت تستخدم polyfill.io، فاحذفه اليوم. Cloudflare وFastly توفّران نسخًا آمنة إن كنت ما زلت تحتاجه.