Codages supportés

Activation de la compression Compression et TLS

Certaines applications web sont vulnérables à une attaque pour vol d'informations lorsqu'une connexion TLS transporte des données compressées par deflate. Pour plus de détails, documentez-vous sur la famille d'attaques "BREACH".

Compression de la sortie

La compression est implémentée par le filtre DEFLATE. La directive suivante active la compression des documents dans le conteneur où elle est placée :

SetOutputFilter DEFLATE SetEnvIfNoCase Request_URI "\.(?:gif|jpe?g|png)$" no-gzip

Si vous voulez limiter la compression à certains types MIME particuliers, vous pouvez utiliser la directive AddOutputFilterByType. Voici un exemple où la compression n'est activée que pour les fichiers html de la documentation d'Apache :

<Directory "/your-server-root/manual"> AddOutputFilterByType DEFLATE text/html </Directory> Note Le filtre DEFLATE est toujours inséré après les filtres RESOURCE comme PHP ou SSI. Il n'affecte jamais les sous-requêtes internes. Note La variable d'environnement force-gzip, définie à l'aide de la directive SetEnv, permet d'ignorer la configuration de votre navigateur quant aux codages acceptés, et d'envoyer sans condition une sortie comprimée.

Décompression de la sortie

Le module mod_deflate fournit aussi un filtre permettant de décomprimer un corps de réponse comprimé par gzip. Pour activer cette fonctionnalité, vous devez insérer le filtre INFLATE dans la chaîne de filtrage en sortie via la directive SetOutputFilter ou AddOutputFilter, comme dans l'exemple suivant :

<Location "/dav-area"> ProxyPass "http://example.com/" SetOutputFilter INFLATE </Location>

Dans cet exemple, les sorties comprimées par gzip en provenance de example.com seront décomprimées afin de pouvoir être éventuellement traitées par d'autres filtres.

Décompression de l'entrée

Le module mod_deflate fournit également un filtre permettant de décomprimer un corps de requête comprimé par gzip. Pour activer cette fonctionnalité, vous devez insérer le filtre DEFLATE dans la chaîne de filtrage en entrée via la directive SetInputFilter ou AddInputFilter, comme dans l'exemple suivant :

<Location "/dav-area"> SetInputFilter DEFLATE </Location>

Désormais, si une requête contient un en-tête Content-Encoding: gzip, son corps sera automatiquement décomprimé. Peu de navigateurs sont actuellement en mesure de comprimer les corps de requêtes. Cependant, certaines applications spécialisées supportent les requêtes comprimées, comme par exemple certains clients WebDAV.

Note à propos de l'en-tête <code>Content-Length</code>

Si vous évaluez vous-même la taille du corps de requête, ne faites pas confiance à l'en-tête Content-Length! L'en-tête Content-Length indique la longueur des données en provenance du client, et non la quantité d'octets que représente le flux de données décompressé.

Prise en compte des serveurs mandataires

Le module mod_deflate envoie un en-tête de réponse HTTP Vary: Accept-Encoding pour avertir les mandataires qu'une réponse enregistrée dans le cache ne doit être envoyée qu'aux clients qui ont envoyé l'en-tête de requête Accept-Encoding approprié. Ceci permet d'éviter l'envoi d'un contenu comprimé à un client qui ne sera pas en mesure de l'interpréter.

Si vous avez défini des exclusions spécifiques dépendant, par exemple, de l'en-tête User-Agent, vous devez ajouter manuellement des données à l'en-tête Vary afin d'informer les mandataires des restrictions supplémentaires. Par exemple, dans la configuration classique où l'addition du filtre DEFLATE dépend du contenu de l'en-tête User-Agent, vous devez spécifier :

Header append Vary User-Agent

Si votre décision de comprimer le contenu dépend d'autres informations que celles contenues dans les en-têtes de la requête (par exemple la version HTTP), vous devez attribuer à l'en-tête Vary la valeur *, ce qui permet d'empêcher les mandataires compatibles de tout mettre en cache.

Exemple Header set Vary *

Servir du contenu précompressé

Comme mod_deflate recompresse le contenu demandé à chaque requête, il est possible de gagner en performances en précompressant ce contenu, et en forçant mod_deflate à servir ce contenu précompressé sans avoir à le recompresser à chaque requête. Pour ce faire, utilisez une configuration du style :

<IfModule mod_headers.c> # Servir des fichiers JS et CSS compressés avec gzip, s'ils existent, et # si le client accepte gzip. RewriteCond "%{HTTP:Accept-encoding}" "gzip" RewriteCond "%{REQUEST_FILENAME}\.gz" -s RewriteRule "^(.*)\.(css|js)" "$1\.$2\.gz" [QSA] # Servir des types de contenus corrects, et empêcher mod_deflate # d'effectuer un double gzip. RewriteRule "\.css\.gz$" "-" [T=text/css,E=no-gzip:1] RewriteRule "\.js\.gz$" "-" [T=text/javascript,E=no-gzip:1] <FilesMatch "(\.js\.gz|\.css\.gz)$"> # Servir le type de codage correct. Header append Content-Encoding gzip # Force les mandataires à mettre en cache séparément les fichiers # css/js gzippés & non gzippés. Header append Vary Accept-Encoding </FilesMatch> </IfModule>