شرح صفوف ومحتوى الفقرة
من الأخطاء الشائعة شديدة الخطورة اعتقاد بعض المبتدئين أن: «موقعي يعمل ببروتوكول HTTPS المشفر، إذن لا بأس من وضع كلمة المرور أو رمز الجلسة في الرابط مثل لأن التشفير يحميه!»
ورغم أن HTTPS يشفر مسار الرابط ومعلمات الاستعلام أثناء عبورها في سلك الشبكة فعلاً، فإن وضع أي بيانات حساسة (كلمات المرور، أو رموز الجلسات، أو مفاتيح API، أو البيانات الشخصية السرية) داخل معلمات الرابط يظل ثغرة أمنية خطيرة وفق معايير OWASP؛ لأن الرابط الكامل يُحفظ كنص مكشوف في طرفي الاتصال ويتسرب عبر خمس قنوات رئيسية:
- 1. سجل التصفح المحلي والعلامات المرجعية (): يحفظ المتصفح الرابط الكامل بمعلماته في سجل التصفح والمزامنة السحابية كنص مقروء لأي شخص يستخدم الجهاز.
- 2. ملفات سجلات الخادم وموزعات المحتوى (): تسجل خوادم الويب () وشبكات CDN سطر الطلب الكامل بما فيه سلسلة الاستعلام تلقائياً في ملفات نصية دائمة، بينما لا تسجل أجسام الطلبات () افتراضياً.
- 3. التسرب للمواقع الخارجية عبر حقل الرأس : إذا احتوت الصفحة على رابط خارجي أو مورد من نطاق آخر، قد يرسل المتصفح عنوان الصفحة الحالي كاملاً بمعلماته السرية داخل حقل الرأس إلى ذلك الطرف الثالث.
- 4. النسخ والمشاركة المباشرة وظهور شريط العنوان: ينسخ المستخدمون الروابط من شريط العنوان لمشاركتها أو يظهر شريط العنوان أثناء مشاركة الشاشة دون انتباه لوجود رمز سري داخل الرابط.
- 5. سكربتات الإحصاء والتحليلات الخارجية: تقرأ أدوات الإحصاء المضمنة في الصفحة عنوان الرابط الكامل () وترسله تلقائياً إلى خوادم التحليلات.
تأمل المخطط الأمني الآتي ثم جرّب المحاكي التفاعلي لاختبار الفرق بين وضع الأسرار في الرابط وإرسالها في الرؤوس أو جسم الطلب المشفر:
ملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
تعلّمنا في هذا الدرس أنواع معلمات طلب HTTP الثلاثة: معلمات سلسلة الاستعلام ()، والفرق بين المعلمات الفعالة ومعلمات التتبع، ومعلمات المسار ()، ومتى نختار المسار أو الاستعلام، ومعلمات جسم الطلب () بصيغها الثلاث، والحدود العملية لطول الرابط ()، وقواعد حماية البيانات الحساسة من التسرب عبر الروابط. الخطوة التالية: انتقل الآن إلى الدرس التالي استجابة HTTP () لندرس بالتفصيل كيف يبني الخادم رده الكامل ويعيده إلى العميل!