web-dev-qa-db-ja.com

https:リソースのfetch()は証明書チェーンを検証しますか?

fetch()spec はソケットレベルのプロトコルであるため、SSL/TLSを処理しません。したがって、証明書が検証され、証明書の失効がチェックされるようにするために、低レベルの接続サービスへの呼び出しが実装されていると思います。

しかし、ワイヤートレース以外に、fetch()が特定のプラットフォームでそのように実装されていることを合理的に確認する方法はありますか?それが起こることを文書化する他の仕様はありますか(TLS仕様を超えて)?

4

いくつかのガイダンスがあります:

https://fetch.spec.whatwg.org/#http-network-fetch

ここでの正確な決定は、当面はユーザーエージェント次第です。ユーザーエージェントは、強力なセキュリティプロパティを持つHTTPS接続のみを成功させ、それ以外の場合はネットワークエラーを返すことを強くお勧めします。 「非推奨」の状態値を使用することは、一時的で最後の手段となるはずです。

1
Jonah Benton