Il JavaScript che stai eseguendo è davvero quello che abbiamo costruito?
Questa pagina verifica nel tuo browser che ogni bundle JavaScript che ExistBefore sta servendo in questo momento sia identico byte-per-byte al manifest che la pipeline di build ha firmato al momento del deploy. Il controllo gira localmente — niente telemetria, niente aggregazione lato server.
Verifica per asset
Metadati del manifest
Come funziona questo audit
- Il tuo browser scarica
/integrity.json, un manifest emesso dalla pipeline di build. Il manifest elenca ogni bundle JavaScript sotto/assets/con il digest SRI atteso (sha256-<base64>), la dimensione in byte, e il commit + tag git da cui è stata prodotta la build. - Per ogni bundle nel manifest, il tuo browser scarica il bundle, calcola lo SHA-256 con WebCrypto, e confronta il risultato con la voce nel manifest. Una divergenza significa che i byte che hai eseguito non sono i byte che abbiamo distribuito.
- Il controllo è puramente lato client. Il risultato è mostrato sopra; nulla viene inviato a nessun server. È l'equivalente eseguibile dell'attributo
integrity=che il browser già impone a ogni<script>.
Perché pubblichiamo questa pagina
- Trasparenza verificabile. Chiunque — auditor, giornalista, regolatore, ricercatore di sicurezza — può confermare in qualunque momento che il bundle servito è quello che abbiamo firmato. Senza dover fidarsi della nostra parola, dei nostri log di deploy o dei nostri badge di CI.
- Rilevazione di compromissione dell'origine. Se un attaccante sostituisce un bundle senza riscrivere anche il manifest, l'audit segnala la divergenza. Se riscrive entrambi, l'hash del manifest pubblicato out-of-band (sul CHANGELOG e in un'attestazione CertiSigma) sarà diverso da quello servito.
- Allineamento forense. ExistBefore pubblica prove di integrità del contenuto. Sarebbe imbarazzante se il JavaScript che produce quelle prove fosse esso stesso non verificabile. Questa pagina chiude il cerchio.
Verifica out-of-band del manifest
Ogni release pubblica lo SHA-256 di /integrity.json in due posti indipendenti: il CHANGELOG su GitHub e un'attestazione CertiSigma al momento del deploy. Per confermare che il manifest stesso non sia stato manomesso su questo server, confronta lo SRI mostrato sopra (audit.meta.manifest_sri) con una delle due fonti. Se differiscono, il /integrity.json servito è sospetto anche quando questo audit segnala valido.