tokeny w URL zamiast w nagłówkach

Tokeny w URL zamiast w nagłówkach są bardziej podatne na przypadkowe ujawnienie w logach i historii.

Dlaczego token w adresie URL łatwiej ujawnić

Token umieszczony w adresie URL, na przykład w parametrze zapytania https://example.com/download?token=abc123, staje się częścią żądania HTTP i może zostać zapisany w wielu miejscach. Przeglądarka przechowuje odwiedzony adres w historii, może umieścić go w pamięci podręcznej, a użytkownik może skopiować go do schowka, wysłać w wiadomości albo zapisać w zakładce. Jeżeli adres zostanie wyświetlony na ekranie lub zapisany w historii synchronizowanej między urządzeniami, token może być dostępny poza aplikacją, która miała go używać.

Adres URL jest również często rejestrowany przez serwer WWW, odwrotny serwer proxy, system równoważenia obciążenia, narzędzia monitorujące i oprogramowanie pośredniczące. W typowych logach żądań zapisywana jest pełna ścieżka wraz z parametrami zapytania, ponieważ parametry mogą być potrzebne do diagnostyki. W efekcie osoba mająca dostęp do takich logów może odczytać token bez analizowania treści żądania. Samo użycie HTTPS szyfruje transmisję między klientem a serwerem, ale nie usuwa tokena z adresu widocznego dla przeglądarki, serwera końcowego ani systemów rejestrujących żądania.

Ryzyko nagłówka Referer i zasobów zewnętrznych

Strona otwarta pod adresem zawierającym token może przekazać ten adres dalej w nagłówku Referer, gdy przeglądarka pobiera zasób z innej strony, na przykład obraz, arkusz stylów, skrypt lub element analityczny. Zakres przekazywanych informacji zależy od polityki referrera. Współczesne przeglądarki domyślnie często stosują strict-origin-when-cross-origin, co przy przejściu między różnymi originami ogranicza referrer do schematu, hosta i portu, ale nie należy zakładać, że każda aplikacja i każda konfiguracja zapewnia takie samo zachowanie.

Przekazanie pełnego adresu może wystąpić przy żądaniach do zasobów tego samego originu albo przy mniej restrykcyjnej polityce, takiej jak unsafe-url. Token może wtedy trafić do logów dostawcy analityki, systemu reklamowego, zewnętrznego CDN albo innej usługi osadzonej na stronie. Dodatkowym problemem jest linkowanie z bieżącej strony do kolejnego serwisu. Serwer odwiedzany później może otrzymać informację o stronie źródłowej, jeśli polityka referrera na to pozwala. Ograniczanie zewnętrznych zasobów, ustawienie odpowiedniej dyrektywy Referrer-Policy oraz usuwanie tokena z adresu po jego jednorazowym odczytaniu zmniejszają to ryzyko.

Co daje umieszczenie tokena w nagłówku

Token przekazywany w nagłówku nie jest częścią adresu URL. Dla żądania uwierzytelniającego można użyć na przykład nagłówka Authorization: Bearer abc123, o ile konkretne API definiuje taki mechanizm. Innym rozwiązaniem jest ciasteczko sesyjne wysyłane zgodnie z regułami domeny, ścieżki oraz atrybutów bezpieczeństwa. W obu przypadkach sekret nie pojawia się w standardowym polu adresu, więc nie jest automatycznie zapisywany w historii przeglądania ani przekazywany jako część referrera.

Przeniesienie tokena do nagłówka nie oznacza jednak, że sekret jest niewidoczny dla całej infrastruktury. Serwer aplikacji, biblioteka HTTP, bramka API, narzędzie debugujące lub system monitoringu może rejestrować nagłówki. Dlatego nagłówki zawierające tokeny powinny być maskowane w logach, a dostęp do logów powinien być ograniczony. Token należy przesyłać przez HTTPS, nadawać mu możliwie krótki czas ważności i ograniczać jego uprawnienia. W przypadku tokenów używanych do pobierania plików można zastosować krótko ważny adres jednorazowy, ale trzeba wtedy świadomie zaakceptować ryzyko wynikające z obecności sekretu w URL.

Praktyczne zasady diagnozy na komputerze

Przy analizie aplikacji warto sprawdzić w narzędziach deweloperskich przeglądarki zakładkę Network i ustalić, czy sekret znajduje się w polu Request URL, w nagłówku żądania czy w ciasteczku. Należy też przejrzeć konfigurację logowania po stronie serwera i upewnić się, że parametry zapytań są anonimizowane przed zapisaniem. Jeśli token został już umieszczony w adresie, samo przekierowanie na czysty adres po stronie interfejsu nie usuwa wcześniejszych wpisów z logów, historii ani systemów pośredniczących. W razie podejrzenia ujawnienia token trzeba unieważnić i wydać nowy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a podczas diagnostyki problemów z aplikacjami internetowymi można dodatkowo sprawdzić ustawienia przeglądarki, rozszerzenia oraz lokalne narzędzia rejestrujące ruch. Taka kontrola pozwala odróżnić błąd samego programu od nieprawidłowego sposobu przechowywania lub przesyłania danych uwierzytelniających.