token przesyłany w URL zamiast w nagłówku

Przesyłanie tokenu w URL zamiast w nagłówku zwiększa ryzyko jego ujawnienia w logach pośredniczących serwerów.

Token w adresie URL a widoczność żądania HTTP

Token przesyłany w adresie URL jest częścią identyfikatora zasobu, najczęściej jako parametr zapytania, na przykład https://example.test/pobierz?token=abc123. W przeciwieństwie do wartości umieszczonej w nagłówku HTTP, taki token znajduje się bezpośrednio w tekście żądania oraz w pasku adresu przeglądarki. Serwer może go odczytać, ale jego obecność w URL sprawia, że wartość łatwiej trafia do dodatkowych mechanizmów rejestrujących i diagnostycznych.

W nagłówku token może być przekazany na przykład jako Authorization: Bearer ... albo w niestandardowym nagłówku aplikacji. Nie oznacza to automatycznie, że nagłówki są niewidoczne dla każdego pośrednika. Ogranicza się jednak liczbę miejsc, w których sekret występuje jako część adresu zasobu. Adres URL jest natomiast często zapisywany razem z metodą i ścieżką żądania w dziennikach dostępu serwera WWW, reverse proxy, bramy API, modułu równoważenia ruchu lub narzędzi monitorujących.

Ślady pozostawiane przez parametr tokenu

Adres zawierający token może zostać zapisany w historii przeglądarki, pamięci autouzupełniania, zakładce albo zrzucie ekranu. Jeżeli użytkownik skopiuje taki adres do wiadomości, zgłoszenia serwisowego lub komunikatora, sekret może zostać przekazany razem z całym łączem. Dotyczy to również ekranów udostępnianych podczas pomocy technicznej, nagrań sesji oraz narzędzi, które automatycznie zbierają adres bieżącej strony.

Token w URL może także pojawić się w nagłówku Referer, gdy przeglądarka przechodzi z takiej strony do innego zasobu i polityka referrera pozwala na przekazanie odpowiedniej części adresu. Zakres przekazywanych danych zależy między innymi od polityki Referrer-Policy, rodzaju przejścia i konfiguracji przeglądarki. Dodatkowym źródłem ujawnienia są systemy analityczne oraz narzędzia śledzące, które rejestrują pełne adresy stron. Samo użycie HTTPS szyfruje transmisję między klientem a punktem końcowym TLS, ale nie usuwa tokenu z historii, logów aplikacji ani innych miejsc, w których adres jest świadomie zapisywany.

Różnica między parametrem zapytania a fragmentem

Nie każdy element adresu URL jest przekazywany do serwera w taki sam sposób. Parametry po znaku zapytania, takie jak ?token=abc123, należą do zapytania HTTP i zwykle docierają do serwera. Fragment występujący po znaku #, na przykład #token=abc123, standardowo nie jest wysyłany w żądaniu HTTP do serwera. Może być jednak odczytany przez kod JavaScript działający w przeglądarce, a następnie przypadkowo zapisany przez aplikację, narzędzie analityczne lub przekazany do kolejnego żądania.

Fragment nie jest więc uniwersalnym sposobem ochrony sekretu. Jeżeli token służy wyłącznie do krótkotrwałego przekazania danych do aplikacji po stronie klienta, fragment może ograniczyć jego obecność w klasycznych logach serwera. Nadal pozostaje on widoczny w pasku adresu i historii przeglądarki. Ponadto aplikacja musi usunąć go z adresu po odczytaniu, nie zapisywać go w logach i nie przesyłać dalej bez wyraźnej potrzeby. Bezpieczniejszy projekt zależy od funkcji tokenu: jednorazowy adres pobierania, token sesyjny i token autoryzacyjny wymagają odrębnej kontroli czasu ważności, zakresu uprawnień oraz sposobu unieważniania.

Ograniczanie ryzyka podczas projektowania i diagnostyki

Jeżeli token musi czasowo wystąpić w URL, powinien mieć możliwie wąski zakres uprawnień, krótki czas ważności i możliwość unieważnienia po użyciu. Nie należy traktować samego ukrycia parametrów w interfejsie jako zabezpieczenia. Warto również wyłączyć rejestrowanie wartości wrażliwych w logach dostępu, maskować parametr przed wysłaniem danych do systemu monitoringu oraz sprawdzić, czy warstwa proxy nie utrwala pełnego adresu w pamięci podręcznej. Po wykryciu ujawnienia token należy unieważnić i wydać nowy, ponieważ usunięcie wpisu z jednego logu nie cofa kopii zapisanych w innych systemach.

Podczas diagnostyki problemu trzeba porównać pełny adres wpisywany przez użytkownika z rzeczywistym żądaniem widocznym w narzędziach deweloperskich przeglądarki i na serwerze. Należy ustalić, czy parametr jest przekazywany przez zapytanie, czy tylko przez fragment, oraz prześledzić przekierowania, odwołania do zasobów zewnętrznych i komunikaty rejestrowane przez aplikację. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z przeglądarkami, konfiguracją aplikacji oraz działaniem oprogramowania odpowiedzialnego za komunikację sieciową.