¿Los archivos html tienen información secreta?

Los archivos HTML per se, no tienen información secreta. Cualquier persona con un servidor proxy que detecte su solicitud / respuesta puede verlo. (como Fiddler) Sin embargo, sus solicitudes y respuestas pueden tener información secreta como claves y detalles de autenticación. Las cookies de sesión también se comunican.

Si la autenticación de su servidor es débil (sin usar OAuth o algo así), su solicitud se puede configurar fácilmente para enrutar a un servidor falso. Esto se llama ataque “Hombre en el medio”.

Si Alice eres tú y Bob es tu servidor, Mallory es el enmascarado.

Es posible que esta información no esté directamente visible en su pantalla; puede ser una solicitud / respuesta adicional oculta, puede ser una nueva cookie de autenticación o una cookie modificada para autorizar permanentemente al enmascarador a hacer lo que quiera. Esto se debe principalmente a una autenticación mutua débil o incluso a compartir públicamente claves privadas. Ver [1]

Aparte de esto, los archivos HTML generalmente son solo marcas HTML. Las imágenes, los estilos, las fuentes y los scripts suelen estar integrados como enlaces que crean solicitudes adicionales.

Esta imagen describe sucintamente cómo su navegador muestra la respuesta HTML recibida. Ver [2] detallado para la explicación.

Notas al pie

[1] Ataque de hombre en el medio

[2] Rendimiento: perfil de cómo diferentes sitios web usan subsistemas de navegador

Los archivos HTML son texto sin formato. Incluso los que muestran imágenes y videos son solo archivos de texto sin formato. Al igual que todos estos archivos, solo pueden contener información secreta en el sentido de que cualquier archivo de texto sin formato puede contener información oculta a simple vista. Como hace este párrafo. ¡Solo lee la primera letra de cada oración y encontrarás un mensaje secreto!

Por supuesto, lo que ves en el navegador no es un archivo de texto sin formato. Ves colores, imágenes, videos, etc. Los archivos HTML contienen una mezcla de etiquetas y texto, como “Me encantan los plátanos “. En ese ejemplo, el navegador solo mostraría las palabras “Me encantan los plátanos”, pero en negrita la palabra “plátanos”.

Los archivos HTML también pueden contener otra información que no se muestra en el navegador, como JavaScript, SVG y CSS. Estas son instrucciones para el navegador, no cosas que muestra el navegador. Sin embargo, todos los navegadores populares le ofrecen formas de ver todo el archivo de texto sin formato. Por ejemplo, en Chrome puedo ver el de esta página haciendo clic en Ver> Desarrollador> Ver código fuente.

Una forma en que los archivos HTML pueden contener información oculta es mediante etiquetas de imagen. Por lo general, cuando ve una imagen en una página web, en realidad no está codificada en la fuente. Por el contrario, el archivo fuente (el archivo HTML) contiene un enlace a una imagen, por ejemplo, Here's a picture of a cat: Que es una instrucción para el navegador para descargar catpic.jpg. Pero como el navegador no sabe qué catpic.jpg, el autor HTML podría estar instruyéndole para que descargue cualquier cosa.

Los autores de la página también pueden agregar datos al final de tales solicitudes: datos y, tal vez, los utilizará para … algún propósito?

También hay un código HTML llamado “oculto”, que se ve así: . Se utiliza para enviar información al servidor, junto con la información ingresada por los usuarios en los formularios. Por ejemplo, si quisiera recopilar su nombre y apellido y enviarlo al servidor junto con el código “formulario versión 1.0”, podría hacerlo de esta manera:

Solo vería campos de texto para firstName y lastName en el navegador. Pero puedes ver todo viendo la fuente de la página, por lo que mi secreto no sería un secreto muy secreto.

No ellos no.
Los archivos HTML y http (s) son dos cosas muy diferentes.
Que https se use para transmitir archivos html es más o menos una coincidencia.
Puede enviar todo tipo de información a través de una conexión https.

Para verificar que los archivos html recibidos no contienen información secreta, simplemente haga clic derecho y presione “ver código fuente” en su navegador. Esto le permitirá ver la página html como la ve su computadora antes de interpretarla y presentarle los resultados.