वीडियो और उपशीर्षक · YouTube थंबनेल डाउनलोडर और मेटाडेटा व्यूअर
आपके चिपकाने से पहले 'संपर्क i.ytimg.com और youtube.com' क्यों बताए गए हैं
· यह क्यों मायने रखती है
YouTube गोपनीयता ब्राउज़र-devtools
अधिकांश टूल नीति पेज में अपनी गोपनीयता का वर्णन करते हैं; यह टूल पर ही अपने होस्ट का नाम देता है। यह पोस्ट बताती है कि होस्ट का नामकरण पहले से क्यों मायने रखता है, यह ToolAcre के नो-एनालिटिक्स सेटअप में कैसे फिट बैठता है और टूल को वादे के अनुरूप कैसे रखा जाए।
एक पंक्ति में एक नेटवर्क वादा - क्यों 'संपर्क i.ytimg.com और youtube.com' असामान्य है
Fetch से पहले i.ytimg.com और www.youtube.com का नामकरण एक आईटी समीक्षक को गोपनीयता के बारे में अस्पष्ट वादे के बजाय एक ठोस उम्मीद देता है। पहला होस्ट थंबनेल उम्मीदवारों को सेवा प्रदान करता है; दूसरा oEmbed रिकॉर्ड परोसता है। क्योंकि प्रकटीकरण क्लिक से पहले दिखाई देता है, एक परीक्षक निष्क्रिय पेज का निरीक्षण कर सकता है, एक लिंक पेस्ट कर सकता है, और यह तय कर सकता है कि किसी भी लुकअप शुरू होने से पहले दस्तावेज़ीकृत तृतीय-पक्ष अनुरोध स्वीकार्य हैं या नहीं।
कथन को उसके वास्तविक दायरे में पढ़ें। यह इस टूल के फ़ेच ऑपरेशन द्वारा शुरू किए गए अनुरोधों का वर्णन करता है, न कि प्रत्येक फ़ॉन्ट, स्क्रिप्ट, एनालिटिक्स अनुरोध या परिनियोजन सुविधा का, जो उत्पादन पेज पर कहीं और मौजूद हो सकता है। एक उपयोगी ऑडिट परीक्षण के तहत कार्रवाई को अलग करता है और उसके ट्रैफ़िक की तुलना दस्तावेज़ीकृत होस्ट से करता है। यह एक साफ़ ट्रेस को पेज-व्यापी दावे में नहीं बदलता है जिसे सीमित कार्यान्वयन स्थापित नहीं कर सकता है।
नीतियां बनाम कथन जिनका आप परीक्षण कर सकते हैं - गोपनीयता पेज और नामित होस्ट के बीच अंतर
स्रोत और प्रकटीकरण इच्छित व्यवहार का वर्णन करते हैं; एक नेटवर्क-पैनल रिकॉर्डिंग दिखाती है कि एक ब्राउज़र ने वास्तव में क्या भेजा है। साक्ष्य के दोनों रूपों का प्रयोग करें. कोड अपेक्षित URL, अनुरोध विकल्प और ट्रिगर की पहचान करता है, जबकि एक लाइव ट्रेस एक्सटेंशन, सेवा कार्यकर्ता, प्रबंधित प्रॉक्सी या ब्राउज़र नीति का खुलासा करता है जो रन को बदल सकता है। यदि वे असहमत हैं, तो अंतर "स्थानीय" या "निजी" जैसे व्यापक लेबल पर बहस के बजाय एक विशिष्ट जांच बन जाता है।
इंटरैक्ट करने से पहले DevTools खोलें, नेटवर्क चुनें, मौजूदा पंक्तियों को साफ़ करें और अनुरोध संरक्षण बंद करें ताकि पहले का नेविगेशन गिनती को दूषित न करे। एक समर्थित लिंक चिपकाएँ और सत्यापित करें कि स्थानीय पार्सिंग कोई Google लुकअप नहीं बनाता है। फिर एक बार फ़ेच दबाएं, निकाले गए वीडियो ID द्वारा फ़िल्टर करें, और होस्टनाम द्वारा समूह या स्कैन करें। यदि ट्रेस समीक्षा या अनुमति सूची परिवर्तन का समर्थन करेगा तो टाइमस्टैम्प और स्थिति कॉलम कैप्चर करें।
पेज-व्यापी सख्त CSP या किसी बाहरी संपत्ति का दावा किए बिना टूल के प्रत्यक्ष अनुरोधों को सत्यापित करें
पेज-व्यापी सख्त सामग्री-सुरक्षा नीति या इस मॉड्यूल से विश्लेषण, विज्ञापन, फ़ॉन्ट और बाहरी स्क्रिप्ट की अनुपस्थिति का अनुमान न लगाएं। उन दावों के लिए तैनात पेज और उसके हेडर से साक्ष्य की आवश्यकता होती है, न कि किसी टूल-विशिष्ट नेटवर्क सहायक से। बचाव योग्य दावा संकीर्ण है: लुकअप कोड एक स्पष्ट उपयोगकर्ता कार्रवाई के बाद दो नामित Google होस्ट को गुमनाम सार्वजनिक GET जारी करता है।
मार्ग सीधा है. कोई ToolAcre API एंडपॉइंट चिपकाई गई ID को सर्वर पर नहीं ले जाता, Google की प्रतिक्रिया पुनर्प्राप्त नहीं करता, या लुकअप इतिहास संग्रहीत नहीं करता। यह एक मध्यस्थ को कम करता है लेकिन तीसरे पक्ष को नहीं हटाता है: Google को अभी भी थंबनेल और मेटाडेटा अनुरोध प्राप्त होते हैं। क्लिक, गंतव्य, अनुरोध संख्या और प्रतिक्रिया वर्ग को एक साथ रिकॉर्ड करें ताकि "प्रत्यक्ष" को "ऑफ़लाइन" या "Google के लिए अदृश्य" के रूप में गलत न पढ़ा जा सके।
दो होस्ट क्यों और एक नहीं - छवियाँ और मेटाडेटा विभिन्न YouTube सेवाओं से आते हैं
एक सफल लुकअप के लिए, आठ i.ytimg.com अनुरोधों की अपेक्षा करें: maxresdefault, sddefault, hqdefault, mqdefault, default, hq1, hq2 और hq3। ToolAcre प्रत्येक JPEG बॉडी को पढ़ता है और आयामों को डिकोड करता है ताकि 120×90 प्लेसहोल्डर वाली सफल स्थिति को अनुरोधित बड़ी कलाकृति के रूप में न समझा जाए। पांच वैकल्पिक WebP पोस्टर पते लिंक के रूप में उत्पन्न होते हैं, लेकिन पढ़ने योग्य डाउनलोड बॉडी के रूप में नहीं लाए जाते हैं।
एक अलग www.youtube.com/oembed अनुरोध की अपेक्षा करें जिसकी क्वेरी में विहित घड़ी URL और प्रारूप = json शामिल है। इसका परिणाम छवि उपलब्धता के बजाय सामान्यीकृत सार्वजनिक मेटाडेटा प्रदान करता है। सभी अनुरोध क्रेडेंशियल्स और रेफरर को छोड़ देते हैं, नो-स्टोर का अनुरोध करते हैं और रीडायरेक्ट का पालन करते हैं; Google उन्हें और ब्राउज़र ओरिजिन हेडर को देखता है। ये विकल्प क्लाइंट व्यवहार का वर्णन करते हैं, गुमनामी की गारंटी या सर्वर-साइड प्रतिधारण नीति का नहीं।
कार्यान्वित उदाहरण: प्रति JPEG थंबनेल एक अनुरोध और एक oEmbed लुकअप
इसलिए क्लीन रन में नौ लुकअप अनुरोध होते हैं: आठ JPEG जांच और एक oEmbed कॉल। उपलब्ध JPEG पंक्ति खोलें और टूल परिणाम के विरुद्ध उसके प्रतिक्रिया आयामों को सत्यापित करें। फिर उस पंक्ति के डाउनलोड नियंत्रण पर क्लिक करें। सेव को जांच के दौरान बनाए गए ब्लॉब का पुन: उपयोग करना चाहिए, इसलिए कोई दूसरी छवि अनुरोध प्रकट नहीं होना चाहिए। उस समय एक डुप्लिकेट अनुरोध इच्छित ब्लॉब-पुन: उपयोग व्यवहार का खंडन करेगा और जांच के योग्य होगा।
गिनती करते समय लिंक को अनुरोधों से अलग रखें। WebP URL को कॉपी करने या इसे टेक्स्ट के रूप में देखने का मतलब यह नहीं है कि ToolAcre ने अपने बाइट्स प्राप्त कर लिए हैं, और vi_webp पथ में JavaScript ब्लॉब डाउनलोड के लिए आवश्यक क्रॉस-ओरिजिन प्रतिक्रिया हेडर का अभाव है। जेनरेट की गई गोपनीयता-संवर्धित आईफ्रेम को रेंडर करना भी इस लुकअप ट्रेस के बाहर है: यह बाद में youtube-nocookie.com से संपर्क करता है, जब कोई अन्य पेज या पूर्वावलोकन कॉपी किए गए एम्बेड को लोड करता है।
इसमें क्या शामिल नहीं है - टूल YouTube की अपनी लॉगिंग या नीतियों के बारे में बात नहीं कर सकता है
असफलताओं को नजरअंदाज करने के बजाय उनका वर्गीकरण करें। ऑफ़लाइन मोड, एक एक्सटेंशन या प्रॉक्सी HTTP प्रतिक्रिया मौजूद होने से पहले परिवहन रोक सकता है। एक छवि 404, एक अन्य त्रुटि स्थिति, एक 200 प्लेसहोल्डर या बाइट्स लौटा सकती है जो डिकोड करने में विफल रहते हैं। मेटाडेटा नेटवर्क रुकावट, HTTP अस्वीकृत या अमान्य JSON के कारण विफल हो सकता है। उन अंतरों को स्क्रीनशॉट या HAR नोट्स में सुरक्षित रखें क्योंकि प्रत्येक एक अलग स्पष्टीकरण और अनुवर्ती सुझाव देता है।
ट्रेस Google की आंतरिक लॉगिंग, अवधारण या सहसंबंध नीति को प्रकट नहीं कर सकता है। यह निजी, हटाई गई या आयु-प्रतिबंधित सामग्री भी उपलब्ध नहीं करा सकता है। एक असफल प्रतिबंधित लुकअप से अपेक्षित साइन-आउट व्यवहार होता है, जबकि एक सफल सार्वजनिक लुकअप केवल वही साबित करता है जो उस समय उस वातावरण को प्राप्त हुआ था। न तो परिणाम पुन: उपयोग के अधिकारों को मान्य करता है, न ही भविष्य की उपलब्धता की भविष्यवाणी करता है या वीडियो के अन्य वर्गों के लिए सार्वभौमिक व्यवहार स्थापित करता है।
टेकअवे: कम वादे, सभी जांच योग्य - YouTube थंबनेल डाउनलोडर और मेटाडेटा व्यूअर कैसे बताता है और अपने नेटवर्क व्यवहार को बनाए रखता है
नेटवर्क पारदर्शिता तब काम करती है जब वादा झूठा साबित करने के लिए काफी छोटा होता है: फ़ेच से पहले पार्सिंग स्थानीय होती है, फिर एक स्पष्ट क्लिक सीधे थंबनेल शुरू करता है और खुलासा किए गए होस्ट के लिए oEmbed अनुरोध करता है। यदि DevTools लुकअप डेटा ले जाने वाला ToolAcre API अनुरोध दिखाता है, तो देखा गया व्यवहार कार्यान्वयन दावे के साथ टकराव करता है। यदि अनुरोध संख्या भिन्न है, तो यह तय करने से पहले कि उत्पाद या परीक्षण सेटअप जिम्मेदार है या नहीं, पुन: प्रयास, सेवा कार्यकर्ता, रीडायरेक्ट और उपयोगकर्ता क्रियाओं का निरीक्षण करें।
जब पैनल अपेक्षित नौ अनुरोध दिखाता है और कोई लुकअप प्रॉक्सी नहीं दिखाता है, तो ट्रेस को दिनांकित, पर्यावरण-विशिष्ट साक्ष्य के रूप में संरक्षित करें। यदि परिणाम नीति को सूचित करता है तो ब्राउज़र संस्करण, एक्सटेंशन या प्रबंधित-नेटवर्क संदर्भ शामिल करें। किसी पुराने कैप्चर को स्थायी प्रमाण मानने के बजाय सार्थक परिनियोजन या निर्भरता परिवर्तन के बाद दोहराएं। सबसे मजबूत निष्कर्ष सटीक रहता है: इस ब्राउज़र ने इन होस्टों, विकल्पों और प्रतिक्रियाओं के साथ इस रन पर दस्तावेज़ीकृत लुकअप किया।