30 октября 2026 года AWS представила автоматическое подключение JavaScript SDK AWS WAF через CloudFront. Сервис добавляет тег скрипта в подходящие HTML-ответы на границе сети. Это упрощает подключение браузерного SDK, но требует проверки доставки контента. Mentoring.digital выделяет ограничения, которые легко пропустить за удобной настройкой.
Где работает автоматическая вставка
Нужен глобальный web ACL, связанный с CloudFront, и одна из поддерживаемых групп правил: Bot Control уровня Targeted, защита входа ATP или защита создания аккаунтов ACFP. Обычного уровня Common в Bot Control недостаточно. Web ACL здесь означает набор правил обработки веб-запросов.
Для подходящих новых web ACL, создаваемых через консоль, опция включена по умолчанию. При программном создании она выключена. Существующие настройки не меняются автоматически. Эта функция не равнозначна подключению CAPTCHA SDK или мобильного SDK.
Почему нужно проверить файлы и политику CSP
При включении CloudFront удаляет заголовки Range и If-Range из разрешённых запросов независимо от типа контента. Вместо части объекта возвращается полный объект с HTTP 200. Это важно для скачивания файлов, аудио и видео, где приложение может рассчитывать на частичную загрузку.
CloudFront также запрашивает у источника несжатые объекты. Для сжатой доставки пользователю нужно проверить соответствующую настройку cache behavior. Вставка скрипта зависит и от Content Security Policy: политика CSP должна разрешать его загрузку и обращения. Вариант со strict-dynamic, nonce или хешами нельзя считать автоматически совместимым.
Браузерный кеш способен сохранить старый HTML без SDK после ответа 304. Очистка кеша CloudFront сама по себе не очищает кеш посетителя. Поэтому проверка только через CDN может дать неполную картину.
Как принять изменение на тестовом сайте
- Проверить подходящий набор правил и отсутствие конфликтующего ручного подключения SDK.
- Открыть страницу в свежем браузерном профиле, проверить вставленный скрипт, ошибки CSP и получение токена WAF.
- Повторить загрузку с уже заполненным браузерным кешем.
- Проверить скачивание крупных файлов, перемотку медиа и объём передаваемых данных, если сайт использует частичные запросы.
Это сценарий проверки, а не утверждение, что на конкретном сайте возникнут ошибки. Связь CDN, кеширования и защиты запросов можно разобрать с ментором по DevOps. Автоматическая вставка сокращает работу с HTML, но её включение следует принимать вместе с поведением всей раздачи CloudFront.
