HTTP/2に「ORIGINフレーム」を追加する拡張仕様

HTTP internet-draft

この記事は古くなっています。 2018/01/11 最新内容で書き直しましたのでそちらを参照のこと asnokaze.hatenablog.com HTTP/2では、一定の条件が満たされれば異なるオリジンとの通信を一つのコネクション上で行うことが出来ます。サーバは、クライアントが要…

2015-10-28

サーバプッシュのための「Accept-Push-Policyヘッダ」とは

HTTP internet-draft

HTTP/2ではサーバプッシュと呼ばれる機能があります。サーバはクライアントからのリクエストを受信しなくても先んじてレスポンスを返すことができる仕組みになります。たとえば、HTTP/1.1においてリソースをインライン化していた部分をサーバプッシュとして…

2015-10-25

XSSやCSRFリスクを軽減する、Entry Point Regulationとは

w3c

Entry Point Regulation とは反射型XSS・XSSI・CSRFのリスクを軽減するユーザエージェント上の仕組みとして、W3CでEntry Point Regulationという仕様が策定中です。 Webアプリケーションの口(Entry Point)に幾つかの制限をかけることが出来ます。別オリジン…

2015-10-23

HTTP/2における証明書に基づいたリアクティブなクライアント認証その１

HTTP TLS internet-draft

20190311追記最新仕様である Secondary Certificate Authentication in HTTP/2の解説記事を書きました asnokaze.hatenablog.com draft 01で大きくな変更が加えられました。証明書を要求するフローは以下より大きく変わりました。ご注意ください (2016/01/27…

2015-10-16

Apache 2.4.17のmod_http2試す

HTTP apache

mod_h2が Apache2.4.17でデフォルトで組み込まれたのでビルドして試してみる。今回はopenssl1.0.2を使いたいのでubuntu15.10を使います。以前のubuntuだとうまくいかないかもしれない nghttp2のインストール nghttp2をインストールしておく必要があります …

2015-10-12

Cookieの属性を制限する Cookie Prefixesという仕様

internet-draft

"$Origin-"プレフィックスは削除され、"$Host-"プレフィックスが追加されました。 (2015/10/13追記)(2015/10/17 記事更新) 背景の、domain属性の指定に誤りがあったため修正しました。「domain=my-example.com」-> 「domain=example.com」(2015/10/14追記) d…

2015-10-08

非セキュアなオリジンから'secure'クッキーの変更を廃止する提案