HTTPLeaks

Qu'est-ce que c'est ?

Ce projet vise à énumérer toutes les façons possibles par lesquelles un site web peut divulguer des requêtes HTTP. Dans un seul fichier HTML. Voir le fichier leak.html (version texte brut) à la racine de ce dépôt.

À quoi ça sert ?

Vous pouvez l'utiliser pour tester votre navigateur contre les fuites CSP, votre webmail contre les fuites HTTP et tout ce qui n'est pas censé envoyer des requêtes HTTP là où le soleil ne brille pas.

Par « fuite HTTP », nous faisons essentiellement référence à une situation où une certaine combinaison d'éléments et d'attributs HTML provoque l'envoi d'une requête vers une ressource externe – alors qu'elle ne devrait pas. Pensez, par exemple, au corps d'un e-mail HTML où une fuite HTTP informerait quelqu'un à l'extérieur que vous venez de lire cet e-mail. Pas toujours mauvais – mais presque jamais bon.

Ou pensez aux proxys web. Ces outils tentent de vous afficher un site web depuis un autre domaine pour offrir ce qu'ils appellent « l'anonymat ». Bien sûr, ils doivent également réécrire tous les éléments et attributs HTML qui récupèrent des ressources via HTTP (ou similaire) et s'ils oublient quelque chose, le soi-disant « anonymat » est perdu.

Et, comme personne ne sait vraiment plus quels éléments et attributs peuvent demander des ressources externes, nous avons décidé de créer ce projet pour garder une trace de cela.

Et maintenant ?

Le HTML sera étendu dès que nous apprendrons l'existence d'une nouvelle fuite. Les pull requests avec des sources exotiques supplémentaires de fuites HTTP sont les bienvenues ! Sont également bienvenues les idées sur la manière dont ce contenu pourrait être présenté autrement (JSON, HTML, XML, ...).

Remerciements

Merci @hasegawayosuke, @masa141421356, @mramydnei, @avlidienbrunn , @orenhafif, @freddyb, @tehjh, @webtonull, @intchloe, @Boldewyn et beaucoup d'autres pour avoir ajouté du contenu et des corrections mineures ici et là !