WebSocket

Na rozdíl od HTTP, WebSocket umožňuje obousměrnou komunikaci.[2][3] Navíc, WebSocket umožňuje proudy zpráv na základě TCP. Vlastní TCP se zabývá proudy bajtů a ne vlastním konceptem zpráv. Před příchodem WebSocketu, byla obousměrná komunikace na portu 80 dosažitelná pomocí kanálů Comet; nicméně její realizace byla netriviální a vzhledem k režii TCP handshake a HTTP záhlaví nad sebou, je neefektivní pro malé zprávy. WebSocket protokol si klade za cíl řešit tyto problémy, bez ohrožení bezpečnostních předpokladů webu.

Protokol WebSocket specifikace definuje ws a wss jako dvě nové uniform resource identifier (URI) systémů[4] , které jsou používány pro nešifrované a případně šifrované spojení. Na rozdíl od režimu jméno a fragment (# není podporován), zbytek URI komponenty je definován pomocí obecné syntaxe URI.[5]

Pomocí prohlížeče Developer Tools, vývojáři mohou kontrolovat navazování spojení WebSocketu, stejně jako jeho rámců.[6]

Na rozdíl od běžných požadavků HTTP mezi doménami nejsou požadavky WebSocket omezeny zásadou stejného původu. Servery WebSocket proto musí během navazování připojení ověřit hlavičku „Origin“ proti očekávaným zdrojům, aby se vyhnuly útokům únosu WebSocket mezi weby (podobně jako padělání požadavků mezi weby), které by mohly být možné, když je připojení ověřeno pomocí souborů cookie nebo HTTP. autentizace. Je lepší použít tokeny nebo podobné ochranné mechanismy k ověření připojení WebSocket, když jsou přes WebSocket přenášena citlivá (soukromá) data.[7] Živý příklad zranitelnosti byl viděn v roce 2020 v podobě Cable Haunt.

Zabezpečená verze protokolu WebSocket je implementována ve Firefoxu 6,[8] Safari 6, Google Chrome 14,[9] Opeře 12.10 a Internet Exploreru 10.[10] Podrobná zpráva z testů protokolu[11] uvádí shodu těchto prohlížečů na jeho konkrétní aspekty.

Starší, méně bezpečná verze protokolu byla realizována v Opeře 11 a Safari 5, stejně jako v mobilní verzi Safari v iOS 4.2.[12] BlackBerry prohlížeč v OS7 implementuje protokol WebSocket.[13] Z důvodu chyby v návrhu byl zakázán ve Firefoxu 4 a 5,[14] jakož i v Opeře 11.[15]

K dispozici je také přepínač příkazového řádku --enable-websocket-nad-spdy pro Google Chrome, které umožňuje používat rané experimentální implementace WebSocketu přes SPDY.[16]