Видео и субтитры · Загрузчик медиафайлов по прямой ссылке
Почему загрузчик без сервера ретрансляции — это другой инструмент
· Почему это важно
конфиденциальность загрузки безопасность
Большинство онлайн-загрузчиков направляют вашу ссылку и файл через свои собственные серверы. В этом посте объясняется, что это означает для конфиденциальности и стоимости, а также почему выборка только через браузер меняет, кто что видит.
Ссылка, которую вы вставляете, тоже является данными: как URL в клиентском файле или неопубликованная запись раскрывают больше, чем кажется.
Прямая ссылка может раскрыть имя проекта, идентификатор клиента, подпись с истекающим сроком действия или путь к неопубликованному активу, прежде чем кто-либо откроет файл. Обработка URL как безобидных данных формы игнорирует эту контекстную информацию.
ToolAcre анализирует значение локально, но явные действия «Проверить ссылку» и «Загрузить» отправляют его на исходный хост. Соответствующим преимуществом конфиденциальности является отсутствие реле ToolAcre, а не отсутствие видимости сети или узла-источника. Любой, кто получает такую ссылку, должен учитывать, включает ли ее путь или запрос надежный бизнес-контекст, даже если сам носитель выглядит рутинным.
Модель ретрансляции: ваша ссылка идет на их сервер, файл возвращается через него — то, что может регистрировать и хранить типичный онлайн-загрузчик.
Служба ретрансляции сначала получает отправленный URL, затем делает собственный запрос, получает ответ и пересылает байты посетителю. Его инфраструктура может технически отслеживать место назначения, время, размер, заголовки и передаваемый контент.
Хранение зависит от этого оператора, поэтому сама по себе архитектура не может гарантировать ведение журнала. Тем не менее, введение реле создает другую сторону и путь копирования. Это также делает реле ответственным за пропускную способность и безопасность произвольного пункта назначения. Ретранслятор также может изменять заголовки или имена файлов, что затрудняет сравнение более позднего происхождения с исходным хостом, если служба не документирует точно эти преобразования.
Модель прямого браузера: исходный хост на вашем устройстве без реле ToolAcre.
Здесь Fetch запускается на вкладке посетителя по проверенному общедоступному адресу HTTPS. В запросах не учитываются учетные данные и реферер, и ни один ToolAcre API не получает URL или медиа-объект в качестве посредника.
Исходный хост обязательно видит соединение и может применять свои собственные журналы, ограничения скорости, перенаправления и политику CORS. Службы страниц всего сайта отделены от маршрута мультимедиа, поэтому «ничего промежуточного» не ограничивается передачей загрузки. Перенаправления могут расширить набор сторон на стороне источника за пределы объявленного исходного имени хоста, поэтому сохраняйте журнал DevTools, если требуется минимизация места назначения.
Сколько стоит каждая модель и кто платит — счета за пропускную способность объясняют, почему сайтам ретрансляции нужна реклама, ограничения и учетные записи.
Ретранслятор оплачивает входящие, исходящие расходы, расходы на хранение, вычисления и контроль злоупотреблений. Эта экономика может мотивировать квоты, уровни оплаты, рекламу, учетные записи или удержание, хотя ни одна бизнес-модель не вытекает автоматически из расходов на полосу пропускания.
Статическое браузерное приложение не платит за перенос файла, поскольку источник отправляет его посетителю. Компромисс является строгим: отказы CORS остаются отказами, аутентифицированные носители остаются недоступными, а большие тела потребляют ресурсы браузера. И наоборот, платное реле может предложить ценные функции резюме или сканирования; дело в том, чтобы оценить раскрытые операции, а не предполагать, что каждый посредник является злонамеренным.
Рабочий пример: загрузка одобренной клиентом версии по ссылке CDN — сравнение того, что оставляет ваша машина под каждой моделью.
При утвержденном клиентом вырезании CDN ретранслятор получает подписанный адрес и полный ответ перед отправкой второй копии дальше. При использовании ToolAcre браузер отправляет один GET непосредственно на этот CDN после того, как установлен флажок прав.
Необязательная ссылка «Проверить» добавляет запрос HEAD на тот же отправленный адрес. Инструменты разработчика могут отображать как вызовы, так и любые перенаправления. Ни одна из моделей не скрывает посетителя от CDN, системы, обслуживающей актив. После сохранения редактор может сравнить ожидаемое имя, размер и контейнер в доверенном программном обеспечении, не предоставляя ToolAcre право хранения клиентского файла.
Чего это не касается — исходный хост все равно видит ваш запрос; инструмент браузера не может скрыть вас от сервера, на котором находится файл
Архитектура без ретрансляции не анонимизирует IP-адреса, не нейтрализует вредоносные файлы, не гарантирует удаление источником и не скрывает заголовки, управляемые браузером. Это также не делает токен с истекающим сроком действия безопасным для публикации в другом месте.
В локальной истории хранится URL, имя файла, количество байтов и время в этом браузере, когда доступно хранилище; он не сохраняет файл. Пользователи, работающие с конфиденциальными ссылками, должны очистить эту историю и следовать правилам хранения отправителя. При очистке состояния страницы удаляются готовые ссылки на BLOB-объекты и отображаемые сведения, а локальную историю необходимо очищать отдельно с помощью собственного элемента управления, если она существует.
Вывод: меньше вечеринок, меньше копий — как Direct Media Downloader сам извлекает ссылку и сохраняет ее прямо на ваше устройство.
Сокращение партий сужает уязвимость, но не устраняет ее. Оправданным утверждением является то, что ни один сервер ToolAcre не проксирует отправленные носители; браузер связывается с выбранным хостом и сохраняет фрагменты для сохранения.
Direct Media Downloader подходит для авторизованных ссылок, если этот путь и его ограничение CORS приемлемы. Проверяйте условия сетевой панели и удаленного поставщика, а не заменяйте точное утверждение об архитектуре словами «частное» или «только локальное». Меньшее количество копий — это оправданный архитектурный результат; «Ни одна третья сторона ничего не видит» будет игнорировать исходный хост, сетевых провайдеров, перенаправления и настроенные службы браузера.