בדיקת הפניות
אנחנו מבקשים את הכתובת ואת כל Location שהיא מפנה אליו, עד 10 שלבים. כל שלב מתורגם ונבדק מחדש לפני החיבור, וגוף התשובה אף פעם לא נקרא.
קישור עובר לעתים קרובות דרך כמה כתובות לפני שמופיע דף: מ-http ל-https, מהדומיין ל-www, מקישור מעקב או מקוצר אל היעד. כל שלב הוא הפניית HTTP, קוד סטטוס 3xx עם כותרת Location.
הכלי עוקב אחרי השרשרת שלב אחר שלב ומציג כל קוד סטטוס ויעד. הוא מסמן מעבר ל-HTTPS וירידה ממנו, מעבר לשרת אחר, הפניות קבועות (301, 308) וזמניות (302, 303, 307), ועוצר בלולאה או אחרי עשרה שלבים.
כל שלב מתורגם ונבדק מחדש לפני שאנחנו מתחברים, כך שכתובת URL ציבורית לא יכולה להפנות את השרת שלנו לרשת פרטית, והחיבור ננעל על הכתובת שנבדקה. מותרים רק הפורטים 80 ו-443, וגוף התשובה לעולם לא נקרא.
שאלות נפוצות
301 או 302?
301 ו-308 קבועות: מנועי חיפוש מעבירים את המעמד של הכתובת הישנה לחדשה, ודפדפנים עשויים לשמור את ההפניה במטמון. 302, 303 ו-307 זמניות.
למה השרשרת נעצרת בכתובת פרטית?
הפניה לרשת פרטית או שמורה היא בדיוק מה שמתקפת SSRF (Server-side request forgery) מנצלת. אנחנו לעולם לא עוקבים אחריהן.
כמה הפניות הן יותר מדי?
כל שלב עולה לפחות הלוך-חזור אחד. הפניה אחת (מ-http ל-https, או מהדומיין ל-www) היא רגילה; שרשראות של שלוש ומעלה כדאי לקצר.