Isolation des processus du navigateur et responsabilité opérationnelle
Définir la propriété des processus, les limites de charge, le cycle de vie et les accès opérationnels sans confondre déploiement et Site Isolation.
BotBrowser Team
Vous voulez la documentation structurée pour Déploiement ?
Cet article fait partie de la bibliothèque éditoriale. Pour les étapes de configuration, la référence et les mises à jour continues, passez directement à la section docs.
L’isolation d’un processus de navigateur est une décision opérationnelle : quelle charge le possède, qui peut l’inspecter et qui le ferme. BotBrowser fournit des profils et contextes contrôlés ; il n’accorde pas de privilèges système, n’approuve pas une politique de conteneur et ne décide pas qui accède à l’hôte.
TL;DR
- Désignez un responsable pour chaque processus et charge.
- Utilisez des processus ou workers séparés pour des domaines de panne, de ressources, de privilèges ou d’accès distincts.
- Traitez fermeture, vidage, délai et remplacement comme des états explicites.
- Révisez les accès avec moindre privilège, durée limitée et justification auditable.
- Chromium Site Isolation décrit une limite du navigateur ; NIST SP 800-190 décrit les risques des conteneurs. Aucun ne remplace la responsabilité opérationnelle.
Contents
- Limite de capacité
- Choisir la limite de processus
- Gérer le cycle de vie
- Réviser les accès
- Conclusion
- Sources
Limite de capacité
BotBrowser peut lancer des builds approuvés, attacher un profil, créer des contextes contrôlés et exposer des événements de cycle de vie au service responsable. Il ne peut pas isoler le noyau, imposer la politique du runtime, révoquer les accès d’infrastructure ni prouver l’acceptation d’une action par un service distant. Ces décisions restent celles des responsables du déploiement, de la sécurité et de l’application.
Choisir la limite de processus
Un navigateur partagé convient aux contextes autorisés qui partagent une version et un hôte tout en séparant le stockage. Choisissez un processus distinct pour des domaines de crash, extensions, ressources ou accès indépendants ; choisissez un worker ou conteneur distinct lorsque le système de fichiers, le réseau ou la politique de l’hôte doivent aussi être séparés.
| Limite | Responsable | Preuve | Escalade |
|---|---|---|---|
| Processus | Service navigateur | groupe, version, bail | Propriétaire du processus |
| Worker ou conteneur | Plateforme | ID, image, limites | Propriétaire plateforme |
| Hôte et réseau | Infrastructure | hôte, namespace, politique | Infrastructure |
| Session | Produit | tâche, résultat, rétention | Application |
Ne réduisez pas une limite approuvée sous pression de capacité. Cela n’implémente pas non plus Chromium Site Isolation : c’est un choix de déploiement autour du navigateur.
Gérer le cycle de vie
Un service doit posséder le processus de starting à closed, avec états idempotents, responsable et échéance. Le bail relie processus, charge, profil et identité de service. Le vidage termine les tâches bornées, ferme les contextes et libère le bail après observation du nettoyage. En cas de dépassement, isolez le processus et laissez le superviseur le remplacer ; n’admettez plus de travail.
Conservez seulement groupe, version, heures, sortie, pression de ressources et résultat du nettoyage. Les identifiants, pages et données de profil restent hors des journaux généraux. Un remplacement qui exige une nouvelle session reçoit une nouvelle affectation.
Réviser les accès
Séparez propriété du service et accès humain. Accordez le minimum nécessaire à un incident déclaré, avec approbation, expiration et audit. Préférez les métriques en lecture seule. L’accès à un processus n’autorise pas l’inspection d’un compte ni la modification d’un service distant.
Conclusion
Une limite fiable possède un responsable, une charge, un cycle de vie et un accès révisable. BotBrowser rend l’affectation côté navigateur répétable ; la plateforme et l’application restent responsables de l’hôte, du conteneur, de l’autorisation distante et de la rétention. Réexaminez la limite après tout changement de version, image, charge ou politique.
Sources
Articles Connexes
Faites passer BotBrowser de la recherche à la production
Utilisez ces guides pour comprendre le modèle, puis passez à la validation multi-plateforme, aux contextes isolés et au déploiement navigateur prêt pour l'échelle.