Edge Security Acceleration:Managed transform

Fonctionnement

Lorsque vous activez une transformation gérée, ESA ajoute un ensemble d'en-têtes de requête vers l'origine et de réponse de sécurité courants au niveau d'un point de présence (POP). Le processus est le suivant :

• En-têtes de requête HTTP (Client → **ESA** → Serveur d'origine) : lorsqu'un point de présence (POP) reçoit une requête client, il ajoute des en-têtes de requête HTTP spécifiques selon votre configuration avant de transférer la requête à votre serveur d'origine. Ces en-têtes comprennent les éléments suivants :

  Type	En-tête inclus	Description
  Ajout de l'en-tête d'IP réelle du client	ali-real-client-ip	Enregistre l'adresse IP réelle du client ayant établi la connexion TCP. ESA ajoute cet en-tête au niveau du point de présence (POP). Il est plus fiable que l'en-tête X-Forwarded-For, que les clients peuvent falsifier.
  Ajout des en-têtes de localisation du visiteur	ali-ip-country ali-ip-city	À partir de l'IP réelle du client, ESA interroge la base de données de géolocalisation IP et ajoute les codes de pays/région et de ville correspondants comme valeurs d'en-tête. La valeur de l'en-tête utilise le code de pays/région Alpha-2 à deux lettres défini dans la norme ISO 3166-1. Par exemple, ali-ip-country=cn indique que l'IP du client se situe en Chine continentale.
  Ajout des en-têtes de requête de sécurité	Tls-Hash Tls-Ja3 Tls-Ja4	Analyse les informations de négociation TLS du client pour générer des empreintes JA3 et JA4. Ces empreintes aident à identifier les types de clients ou à détecter les bots. Les en-têtes incluent Tls-Hash, Tls-Ja3 et Tls-Ja4. Les en-têtes d'empreinte TLS ne sont renseignés que pour les sites web bénéficiant du plan entreprise.
  Informations sur les risques de sécurité du compte	Esa-User-Risk	Une fois la fonctionnalité Sécurité du compte (ATO) activée, les requêtes envoient automatiquement des informations sur les risques de sécurité du compte au serveur d'origine, notamment l'identifiant du compte et un score de risque. Par exemple, account_name:test2*@gmail.com;risk_coefficient:85 indique que le nom du compte est test**@gmail.com et que le score de risque est de 85. Vous n'avez pas besoin de configurer manuellement cet en-tête sur la page Managed Transforms. Le système l'ajoute automatiquement à la requête vers l'origine après l'activation de la fonctionnalité Account Security.

• En-têtes de réponse HTTP (**ESA** → Client) : lorsque ESA reçoit une réponse du serveur d'origine, il ajoute un ensemble d'en-têtes de réponse de sécurité standard en fonction de votre configuration avant de renvoyer la réponse au client.

  Remarque

  Si une réponse de votre serveur d'origine contient déjà un en-tête de sécurité portant le même nom, ESA écrase par défaut la valeur de l'en-tête provenant du serveur d'origine afin de garantir la cohérence des politiques.

  Type	En-tête inclus	Description
  Ajout des en-têtes de réponse de sécurité	x-content-type-options: nosniff	Empêche les attaques par confusion de type MIME en obligeant le navigateur à respecter strictement le Content-Type déclaré dans l'en-tête de réponse. La valeur nosniff active ce mode strict.
  	x-xss-protection: 1; mode=block	Protège contre les attaques de script intersite (XSS) réfléchi, où des scripts malveillants sont injectés via des paramètres d'URL. La valeur 1 active le filtre XSS. La valeur mode=block empêche le rendu de la page si le filtre est déclenché.
  	x-frame-options: SAMEORIGIN	Restreint l'intégration des pages pour protéger contre les attaques par clickjacking. La valeur SAMEORIGIN autorise l'intégration uniquement par des pages provenant de la même origine. Par exemple, une page issue de example.com ne peut être encadrée que par d'autres pages de example.com.
  	referrer-policy: same-origin	Contrôle la fuite de l'en-tête Referer pour éviter d'exposer les chemins de navigation de l'utilisateur dans les requêtes cross-origin. La valeur same-origin envoie le Referer complet uniquement pour les requêtes de même origine. Aucun Referer n'est envoyé pour les requêtes cross-origin.
  	expect-ct: max-age=86400, enforce	Cet en-tête aide à détecter les certificats non conformes. La valeur max-age=86400 définit la durée de validité de la politique à 24 heures. La valeur enforce exige que le navigateur rejette les connexions ne répondant pas aux exigences de Certificate Transparency.

Configurer les informations client pour l'analyse des requêtes

Cette fonctionnalité ajoute automatiquement des en-têtes HTTP contenant l'IP réelle du client, la géolocalisation et l'empreinte TLS aux requêtes vers l'origine, fournissant ainsi davantage de contexte client à votre application.

Configurer les en-têtes de réponse de sécurité

Cette fonctionnalité ajoute automatiquement des en-têtes de sécurité standard aux réponses client pour se défendre contre des attaques telles que le XSS et le clickjacking, renforçant ainsi la sécurité de votre application web.