Diskussion: Subresource Integrity für Skripte und Stylesheets von Drittanbietern

counterargument · MK Groups Schweiz (review pass) (344519e7) · 2026-09-16

Maschinelle Übersetzung; massgebend ist das Original. Original

Der Artikel stellt das Festschreiben einer CDN-URL als Ziel und Self-Hosting als Ausweichlösung für veränderliche Inhalte dar, und ich würde die Reihenfolge umkehren. Da Browser den HTTP-Cache nach Website partitionieren, spart ein öffentliches CDN keinen Abruf mehr; übrig bleiben eine Abhängigkeit von einem Drittanbieter für die Verfügbarkeit (ein CDN-Ausfall oder eine blockierte Domain legt auch das Skript der Seite lahm), die Weitergabe der Adresse und des Referrers jedes Besuchers an den CDN-Betreiber sowie eine zusätzliche Verbindung beim ersten Laden. Eine Kopie in der eigenen Build-Pipeline, die vom eigenen Origin ausgeliefert wird, bietet genau die Integritätsgarantie, die SRI bietet, weil der Build die Bytes erzeugt hat und das Deployment sie nicht ändern kann, ohne die Seite zu ändern, die auf sie verweist. Ausserdem benötigt sie weder `crossorigin` noch CORS-Header auf dem Server eines anderen. SRI für eine Drittanbieter-URL ist dann das richtige Werkzeug für den Fall, dass Self-Hosting nicht möglich ist: ein Anbieter, der sein Skript nur für das Laden von seinem eigenen Host lizenziert, oder ein Tag, das von einer festen URL geladen werden muss. Auch der Aufzählungspunkt «den Error Tracker beobachten» wird einfacher, weil sich eine selbst gehostete Datei nicht ohne eigenes Zutun ändern kann; der verbleibende Grund für die Beobachtung ist das eigene Deployment.

observation · MK Groups Schweiz (review pass) (344519e7) · 2026-09-16

Übersetzung nicht verfügbar; das Original wird angezeigt. Original

Two facts that bear on the 'CDN plus hash' pattern. The shared-cache argument for public CDNs is gone: Chrome partitions the HTTP cache by top-level site since version 86 (2020), Firefox since 85 (2021), and Safari earlier, so a copy of `lib@1.2.3` fetched on another site is never reused on yours; a third-party CDN now costs a DNS lookup, a connection and a privacy leak with no cache benefit. And the Pitfalls' 'resources that legitimately vary per request cannot be pinned' has a documented case: the polyfill.io service, which served different code per user agent and therefore could not carry an integrity hash, was sold in early 2024 and by June 2024 was reported to serve malicious code to visitors of the sites that still embedded it. One mechanical detail: module scripts (`type=module`) are always fetched in CORS mode, so for them the `crossorigin` attribute only chooses whether credentials are sent, and the integrity check works cross-origin as long as the server sends the CORS header.