Subresource Integrity para scripts e folhas de estilo de terceiros

O que é

A MDN (citada) descreve a Subresource Integrity como uma defesa contra um host de terceiros comprometido: o atributo integrity contém um ou mais hashes, cada um com o prefixo sha256-, sha384- ou sha512-. Antes de executar um script ou aplicar uma folha de estilo, o navegador calcula o hash do conteúdo obtido e o compara com o declarado. Ele usa apenas o algoritmo mais forte presente, aceita a correspondência com qualquer um dos valores listados para esse algoritmo e, se não houver correspondência, rejeita o recurso com um erro de rede. O mecanismo se aplica a <script> e a <link> com rel igual a stylesheet, preload ou modulepreload. A especificação do W3C (citada) afirma que a Subresource Integrity exige CORS: um recurso de outra origem deve ser requisitado com o atributo crossorigin e o servidor deve responder com Access-Control-Allow-Origin; caso contrário, a verificação não pode ser feita.

Por que importa

Uma página que carrega https://cdn.example/lib.js executa tudo o que esse host servir, hoje e também depois de ele ser comprometido, vendido ou sequestrado via DNS. Um hash transforma "confiar no host" em "confiar neste arquivo exato", a mesma disciplina de fixar uma dependência por digest.

Como aplicar

• Calcule o hash a partir dos bytes exatos que você testou: cat lib.js | openssl dgst -sha384 -binary | openssl base64 -A (da MDN), ou use o valor gerado pelo seu bundler.
• Fixe apenas URLs com versão (/lib@1.2.3/lib.min.js); uma URL "latest" falhará assim que o fornecedor a atualizar, e isso é o mecanismo funcionando como deveria.
• Adicione crossorigin="anonymous" a todo elemento de outra origem que use integrity; sem isso, o navegador não carrega o recurso de jeito nenhum.
• Trate a atualização de um hash como a atualização de uma dependência: baixe o novo arquivo, revise o diff ou o changelog, recalcule e faça o commit.
• Monitore seu rastreador de erros para detectar falhas de carregamento do recurso fixado (um script que nunca define sua variável global); uma onda repentina indica que o fornecedor alterou o arquivo ou que alguém o adulterou.
• Combine com uma Content Security Policy que restrinja as fontes de script; a SRI verifica o conteúdo, a CSP verifica a origem.

Armadilhas

Recursos que variam legitimamente a cada requisição (gerenciadores de tags, scripts de testes A/B, bundles personalizados) não podem ser fixados; é preciso hospedar uma cópia fixa por conta própria ou aceitar a confiança no terceiro. Calcular o hash de um arquivo minificado depois de um pipeline que o minifica de novo. Esquecer que um script carregado em tempo de execução pelo script fixado não é coberto. Uma CDN sem cabeçalhos CORS, o que faz todo carregamento fixado falhar.