Một khách hàng mở trang tài khoản và nhìn thấy tên của người khác. Quá trình đăng nhập có thể vẫn đang hoạt động như thiết kế. Bộ nhớ đệm chia sẻ có thể đã lưu trang không đúng và gửi nó cho khách truy cập tiếp theo.
Bộ nhớ đệm giúp WordPress nhanh hơn bằng cách tái sử dụng công việc. Nhưng một trang được xây dựng cho một người cần các quy tắc khác với một bài đăng blog công khai. Hướng dẫn này chỉ cách kiểm tra ranh giới đó mà không cần tắt mọi tính năng tăng tốc.
Ánh xạ bộ nhớ đệm mà trang web của bạn sử dụng
Bắt đầu với trình duyệt, sau đó là CDN, bộ đệm lưu trữ, plugin bộ đệm trang và bộ đệm đối tượng. CDN là mạng phục vụ nội dung gần gũi với khách truy cập. Bộ đệm đối tượng lưu trữ dữ liệu được ứng dụng sử dụng; nó không giống như một trang đầy đủ đã lưu.
Viết ra ai sở hữu mỗi lớp. Cả hai công cụ đều có thể trông chính xác khi tách biệt trong khi một quy tắc rộng sẽ ghi đè lên quy tắc kia. Quy tắc “lưu vào bộ nhớ đệm mọi thứ” đáng được xem xét kỹ lưỡng trên cửa hàng hoặc trang web thành viên.
Của chúng tôi WordPress hướng dẫn tốc độ bao gồm các khía cạnh hiệu suất. Thêm kiểm tra quyền riêng tư cho cùng một tác phẩm để tăng tốc độ không che giấu rò rỉ dữ liệu.
Quyết định những phản hồi nào phải giữ ở chế độ riêng tư
Danh sách các trang hiển thị tên, đơn đặt hàng, địa chỉ, nội dung tải xuống riêng tư, chi tiết tài khoản hoặc giá tùy chỉnh. Bao gồm các lệnh gọi API tải dữ liệu này sau khi trang mở ra.
Các trang giỏ hàng, thanh toán và tài khoản thường cần các quy tắc bỏ qua bộ nhớ đệm chia sẻ. Các phản hồi được xác thực và các trang phụ thuộc vào phiên riêng tư cũng vậy. Hãy kiểm tra các tuyến đường thực tế được sử dụng bởi các plugin của bạn; một trang tài khoản tùy chỉnh có thể có một URL khác.
Một trang công khai vẫn có thể tải một tiện ích riêng tư. Ví dụ, phần khung của trang có thể an toàn để lưu vào bộ nhớ đệm trong khi phần tóm tắt đơn hàng của nó thì không. Hãy kiểm tra phản hồi có chứa dữ liệu riêng tư, không chỉ thanh địa chỉ.
Sử dụng của chúng tôi WooCommerce danh sách kiểm tra bảo mật để bao gồm các luồng tài khoản và thanh toán trong quá trình xem xét.
Hiểu ba chỉ thị bộ đệm hữu ích
Tiêu đề Cache-Control cho các bộ nhớ đệm tương thích biết cách xử lý phản hồi. “Riêng tư” không bao gồm bộ nhớ đệm dùng chung nhưng có thể cho phép bộ nhớ đệm của trình duyệt. “Không lưu trữ” yêu cầu bộ nhớ đệm không giữ lại phản hồi. “Không có bộ đệm” cho phép lưu trữ nhưng yêu cầu xác thực trước khi sử dụng lại. Nó không có nghĩa là “không bao giờ lưu cái này”.
Những ý nghĩa và hành vi cụ thể của nhà cung cấp được ghi lại trong hướng dẫn về kiểm soát bộ nhớ đệm của Cloudflare. Hãy kiểm tra cả các quy tắc của máy chủ và CDN của bạn. Chỉ riêng một tiêu đề không phải là bằng chứng về những gì toàn bộ hệ thống đang thực hiện.
Đối với các trang nhạy cảm, hãy sử dụng một chính sách có chủ đích cho cả bộ nhớ đệm của trình duyệt và bộ nhớ đệm chia sẻ. Sau đó kiểm tra phản hồi. Giữ nguyên các kiểm tra xác thực: các tiêu đề bộ nhớ đệm không thể quyết định ai được phép xem một đơn hàng.
Chạy thử nghiệm hai tài khoản
Tạo hai khách hàng thử nghiệm với dữ liệu giả rõ ràng là khác nhau. Sử dụng các cấu hình trình duyệt riêng biệt để giữ cho cookie không bị trộn lẫn. Cấu hình thứ ba phải ở trạng thái đăng xuất.
- Đăng nhập với tư cách là khách hàng A và mở trang tài khoản nhiều lần.
- Mở lộ trình giống như khách hàng B và so sánh kết quả.
- Yêu cầu tuyến đường trong khi đăng xuất.
- Lặp lại sau khi xóa bộ đệm và lặp lại sau khi bộ đệm đã ấm lên.
- Kiểm tra cả trang hiển thị và các phản hồi mạng điền dữ liệu cho trang đó.
Không có tên riêng, đơn đặt hàng hoặc địa chỉ nào được xen kẽ giữa các phiên này. Lặp lại với giỏ hàng, thông tin đăng nhập đã hết hạn và tải xuống được bảo vệ bằng mật khẩu. Sử dụng đơn đặt hàng thử nghiệm, không phải hồ sơ khách hàng thực sự.
Của chúng tôi hướng dẫn bảo mật phiên giải thích tại sao cookie và hành vi đăng xuất lại quan trọng ở đây.
Đưa những ý tưởng vào thực tế.
Từ một cải tiến cụ thể đến một website hoàn chỉnh, chúng tôi giúp bạn xác định phạm vi và triển khai.
Trao đổi về website của tôiGiải pháp Bảo mật WordPress Nâng caoChia sẻ mục tiêu của bạn. Chúng tôi thường phản hồi trong vòng 4 giờ kèm theo các câu hỏi và bước tiếp theo thiết thực.
Kiểm tra xem bộ nhớ đệm thực sự đã phục vụ nội dung gì
Yêu cầu nhà phát triển của bạn kiểm tra các tiêu đề phản hồi và trạng thái bộ nhớ đệm. Một lượt truy cập bộ nhớ đệm bất ngờ trên một phản hồi riêng tư cần được điều tra. Việc không tìm thấy trong bộ nhớ đệm là chưa đủ để chứng minh tính an toàn; yêu cầu tiếp theo có thể sẽ là một lượt truy cập.
Thử nghiệm với cùng CDN và thiết lập lưu trữ như trang web trực tiếp. Nếu dàn dựng không có CDN, kết quả của nó sẽ không bao gồm bộ nhớ đệm biên. Bao gồm các biện pháp bảo vệ dàn dựng và một cuộc kiểm tra trực tiếp nhỏ, có kiểm soát.
Giữ một bản ghi về lộ trình, trạng thái người dùng, hành vi và kết quả mong đợi. Lặp lại các bước kiểm tra này sau khi thay đổi plugin bộ đệm, tính năng thành viên mới hoặc di chuyển dịch vụ lưu trữ.
Phải làm gì nếu dữ liệu bị lộ
Dừng bộ nhớ đệm được chia sẻ trên các tuyến bị ảnh hưởng và xóa các phản hồi được lưu trữ ở mỗi lớp có liên quan. Lưu giữ đủ bằng chứng để hiểu dữ liệu nào được cung cấp và khi nào. Sửa quy tắc, kiểm tra lại và đánh giá ai có thể bị ảnh hưởng.
Việc thay đổi một tiêu đề không loại bỏ một cách đáng tin cậy các bản sao cũ đã được lưu trữ ở nơi khác. Hãy làm theo các bước trong phần hướng dẫn ứng phó sự cố nếu vấn đề liên quan đến dữ liệu khách hàng.
Các bài đăng công khai và nội dung tĩnh vẫn có thể được hưởng lợi từ bộ nhớ đệm. Để được trợ giúp kiểm tra ranh giới, chúng tôi dịch vụ tối ưu hóa tốc độ có thể xem xét hiệu suất cùng với hành vi của trang riêng tư.
Các câu hỏi thường gặp
Tôi có nên tắt tất cả bộ nhớ đệm trên cửa hàng WordPress không?
Thường thì không. Nội dung công khai và nội dung tĩnh vẫn có thể được lưu vào bộ nhớ đệm. Xem xét riêng các trang riêng tư, phiên và phản hồi API.
Liệu no-cache có ngăn một trang bị lưu trữ không?
Không. Nó cho phép lưu trữ nhưng yêu cầu xác nhận trước khi sử dụng lại. No-store là chỉ thị được sử dụng để ngăn chặn việc lưu trữ.
Liệu một trình duyệt đã đăng xuất có đủ để kiểm tra tính riêng tư của bộ nhớ đệm hay không?
Không. Kiểm tra hai tài khoản người dùng riêng biệt và một phiên đăng xuất. Kiểm tra cả trạng thái bộ đệm lạnh và ấm.
Liệu việc xóa bộ nhớ đệm có khắc phục được một quy tắc sai không?
Không. Quá trình thanh lọc sẽ xóa các bản sao được lưu trữ nhưng quy tắc tương tự có thể lưu trữ lại dữ liệu riêng tư. Sửa chính sách và kiểm tra lại nó.
