با مجموعه‌ها، منظم بمانید
ذخیره و طبقه‌بندی محتوا براساس اولویت‌های شما.
API دروازه HTTP نادیده مرور ایمن
توجه: این مستندات در حال حاضر در حال توسعه است. انتظار پیشرفت در آینده نزدیک را داشته باشید.
Safe Browsing Oblivious HTTP Gateway API یک API حفظ حریم خصوصی است که بر روی پروتکل IETF RFC به نام Oblivious HTTP ، RFC 9458 ساخته شده است.
نمای کلی
Safe Browsing Oblivious HTTP Gateway API یک سرویس Google است که به برنامه‌های سرویس گیرنده اجازه می‌دهد URLها را در برابر فهرست‌های دائماً به‌روز شده منابع وب ناامن Google با حفاظت از حریم خصوصی اضافی بررسی کنند.
این از طریق یک پروتکل سبک وزن به نام Oblivious HTTP یا به اختصار OHTTP به دست می آید. این یک پروتکل بدون حالت است که می‌تواند توسط کلاینت‌های Safe Browsing برای دسترسی به APIهای Google Safe Browsing V5 استفاده شود، تا از محافظت‌های قوی و افزایش پوشش بدون به خطر انداختن حریم خصوصی کاربران استفاده کنند.
Oblivious HTTP یک پروتکل سبک است که در RFC 9458 تعریف شده است که برای رمزگذاری و ارسال پیام های HTTP از یک کلاینت به یک سرور هدف استفاده می شود. این کار از یک سرویس رله قابل اعتماد استفاده می کند به نحوی که استفاده سرور مورد نظر از ابرداده مانند آدرس IP و اطلاعات اتصال را برای شناسایی مشتری کاهش می دهد و حریم خصوصی و امنیت را در بالای پروتکل HTTP/S ساده فراهم می کند. این پروتکل از HTTP باینری، تعریف شده در RFC 9292، برای رمزگذاری/رمزگشایی درخواست ها/پاسخ های HTTP استفاده می کند.
در سطح بالایی، یک Relay بین منبع Client و Gateway قرار می گیرد که با حذف همه شناسه های مشتری، از جمله ویژگی های حساس به حریم خصوصی مانند آدرس های IP، به طور موثر درخواست های HTTP ورودی به سرویس Gateway را ناشناس می کند، ترافیک مشتری را پراکسی می کند. مزیت اضافه شده OHTTP این است که تمام درخواست‌ها رمزگذاری شده‌اند، به این معنی که پرس‌وجوهای مرور ایمن کلاینت‌ها (یعنی هش‌های کوتاه‌شده عبارات URL) برای Relay قابل مشاهده نیستند. برای اجرای نمونه در کروم به وبلاگ پست مراجعه کنید.
شکل : جریان OHTTP.
مشتریان می توانند هر ارائه دهنده Relay (به عنوان مثال، Fastly ) را برای ادغام با سرویس انتخاب کنند. رله باید از احراز هویت Oauth 2.0 با محدوده مجوز زیر برای دسترسی به سرویس استفاده کند.
این نقطه پایانی پیکربندی کلید عمومی OHTTP را همانطور که در RFC 9458 مشخص شده است، ارائه می‌کند که توسط مشتری برای رمزگذاری درخواست OHTTP استفاده می‌شود.
GET https://safebrowsingohttpgateway.googleapis.com/v1/ohttp/hpkekeyconfig?key=<API key>
کلید API بالا به شدت ضروری نیست. سرور کلید عمومی OHTTP را بر اساس کلید API ارائه شده تغییر نمی دهد. برای کلاینت‌ها مجاز است که این واقعیت را با استفاده از کلیدهای معتبر API مختلف برای دسترسی به این نقطه پایانی یا استفاده از هیچ کلید API بررسی کنند و بررسی کنند که آیا پاسخ واقعاً حاوی کلید عمومی OHTTP است. با این حال، برای سهولت اشکال زدایی، یک کلید API توصیه می شود. این به مشتریان اجازه می‌دهد تا آماری مانند تعداد درخواست‌ها را در Google Cloud Console مشاهده کنند. اگر مشتری قصد دارد یک کلید API ارائه کند، به این مستندات در مورد نحوه تنظیم کلیدهای API مراجعه کنید.
همانطور که در بخش توصیه‌های حفظ حریم خصوصی بیان شد، به منظور دستیابی به اهداف اصلی سازگاری ، به فروشندگان مشتری توصیه می‌شود که یک زیرساخت توزیع کلید متمرکز راه‌اندازی کنند تا کلید را از این نقطه پایانی دریافت کنند و متعاقباً آن را در برنامه‌های مشتری خود توزیع کنند.
طبق دستورالعمل مدیریت کلید ، کلیدها به طور منظم روی سرور می چرخند. کلاینت‌ها باید کلید را تازه‌سازی کنند، به‌عنوان مثال، هر چند وقت یک‌بار کپی محلی کلید را واکشی و به‌روزرسانی کنند تا از شکست‌های رمزگشایی جلوگیری شود.
مشتریان باید کلید عمومی را یک بار در روز بازخوانی کنند (واکشی و به روز کنند). اگر یک مکانیسم توزیع متمرکز استفاده می شود، این مکانیسم باید مطمئن شود که کلیدها یک بار در روز دریافت و توزیع می شوند.
درخواست کپسوله شده OHTTP
این نقطه پایانی با انجام رمزگشایی درخواست، درخواست OHTTP را که در بدنه HTTP درخواست POST گنجانده شده است، ارائه می‌کند و متعاقباً پاسخ OHTTP را رمزگذاری می‌کند تا در پاسخ HTTP به Relay بازگردانده شود. مشتری باید سرصفحه درخواست Content-Type را به عنوان پیام/ohttp-req در درخواست HTTP POST درج کند.
POST https://safebrowsingohttpgateway.googleapis.com/v1/ohttp:handleOhttpEncapsulatedRequest?key=<API key>
توجه: طبق راهنمایی در مورد RFC، درخواست داخلی (به مستندات V5 در مورد نحوه ایجاد درخواست مرور ایمن مراجعه کنید) با استفاده از پروتکل HTTP باینری ، RFC 9292 کدگذاری کنید.
کتابخانه های مشتری
Google Quiche دارای پیاده سازی سمت مشتری برای پروتکل های OHTTP و BHTTP است. به مشتریان توصیه می شود از این کتابخانه ها استفاده کنند. در مورد نحوه ساخت درخواست های OHTTP برای دسترسی به API به کد کاذب زیر مراجعه کنید.
نمونه اجرای سمت مشتری
کلاینت ها کلید عمومی Oblivious HTTP را از نقطه پایانی کلید عمومی دریافت می کنند. متعاقباً پیکربندی کلید OHTTP quiche را به همین ترتیب مقداردهی اولیه کنید و کلاینت quiche OHTTP را مقداردهی اولیه کنید.
auto ohttp_key_cfgs = quiche::ObliviousHttpKeyConfigs::ParseConcatenatedKeys(std::string public_key);
auto key_config = ohttp_key_cfgs->PreferredConfig();
auto public_key = ohttp_key_cfgs->GetPublicKeyForId(key_config.GetKeyId())
auto ohttp_client = quiche::ObliviousHttpClient::Create(public_key, key_config);
مشتری از رمزگذاری HTTP باینری برای ایجاد درخواست BHTTP به عنوان اولین گام قبل از رمزگذاری استفاده می کند.
مشتری متعاقباً درخواست باینری HTTP ایجاد شده در مرحله بالا را رمزگذاری می کند.
auto bhttp_serialized = bhttp_request.Serialize();
auto ohttp_request = ohttp_client.CreateObliviousHttpRequest(*bhttp_serialized);
// Client must include this in POST body, and add `Content-Type` header as "message/ohttp-req".
auto payload_include_in_post_body = ohttp_request.EncapsulateAndSerialize();
هنگامی که پاسخ از Relay دریافت شد، کلاینت پاسخ را رمزگشایی می کند. پاسخ شامل سرصفحه پاسخ Content-Type به عنوان ohttp-res خواهد بود.
auto ctx = std::move(ohttp_request).ReleaseContext();
auto ohttp_response = ohttp_client.DecryptObliviousHttpResponse("data included in body of http_response", ctx);
پس از رمزگشایی پاسخ OHTTP با موفقیت، خروجی را با استفاده از HTTP باینری رمزگشایی کنید.
auto bhttp_response = BinaryHttpResponse::Create(ohttp_response.GetPlaintextData());
if (bhttp_response.status_code() == 200) {
auto http_response = bhttp_response.body();
auto response_headers = bhttp_response.GetHeaderFields();
}
تاریخ آخرین به‌روزرسانی 2025-07-24 بهوقت ساعت هماهنگ جهانی.
[null,null,["تاریخ آخرین به‌روزرسانی 2025-07-24 بهوقت ساعت هماهنگ جهانی."],[[["\u003cp\u003eSafe Browsing Oblivious HTTP Gateway API allows client applications to privately check URLs against Google's unsafe web resources lists using the Oblivious HTTP protocol.\u003c/p\u003e\n"],["\u003cp\u003eThis API leverages a Relay service to anonymize client requests to Google, enhancing privacy by hiding client identifiers like IP addresses.\u003c/p\u003e\n"],["\u003cp\u003eClients need to fetch and regularly update the OHTTP public key from a dedicated endpoint for encryption and decryption of requests and responses.\u003c/p\u003e\n"],["\u003cp\u003eThe API uses two endpoints: one for obtaining the OHTTP public key and another for handling encapsulated OHTTP requests.\u003c/p\u003e\n"],["\u003cp\u003eGoogle provides client libraries and sample code to facilitate integration with the API, recommending the use of Quiche for OHTTP and BHTTP functionalities.\u003c/p\u003e\n"]]],["\n\nI'm sorry, but I can't help you with this."],null,["# Overview\n\nSafe Browsing Oblivious HTTP Gateway API\n----------------------------------------\n\n**Note: This documentation is currently still under development. Expect improvements in the near future.**\n\nSafe Browsing Oblivious HTTP Gateway API is a privacy preserving API built on top of IETF RFC protocol named *Oblivious HTTP* , [RFC 9458](https://www.ietf.org/rfc/rfc9458.html).\n\n### Overview\n\nSafe Browsing Oblivious HTTP Gateway API is a Google service that lets client applications check URLs against Google's constantly updated lists of unsafe web resources with additional privacy protections in place.\n\nThis is achieved via a lightweight protocol called *Oblivious HTTP* , or [OHTTP](https://www.ietf.org/rfc/rfc9458.html) for short. This is a stateless protocol that can be used by Safe Browsing clients in order to access [*Google Safe Browsing V5* APIs](/safe-browsing/reference), to get robust protections and increased coverage without compromising users' privacy.\n\n**NOTE:** [Google Safe Browsing V4 APIs](https://developers.google.com/safe-browsing/v4) cannot be accessed via this service.\n\n#### Safe Browsing Oblivious HTTP protocol\n\n##### RFC Protocol\n\nOblivious HTTP is a lightweight protocol defined in [RFC 9458](https://www.ietf.org/rfc/rfc9458.html), used for encrypting and sending HTTP messages from a client to a target server. This uses a trusted relay service in a manner that mitigates the target server's use of metadata such as IP address and connection information for client identification, providing privacy and security on top of plain HTTP/S protocol. The protocol uses Binary HTTP, defined in RFC 9292, to encode/decode HTTP requests/responses.\n\nAt a high level, a Relay stands between the Client and Gateway resource that proxies client traffic by removing all client identifiers, including privacy sensitive attributes such as IP addresses, effectively anonymizing incoming HTTP requests to the Gateway service. The added benefit of OHTTP is all the requests are end-to-end encrypted, which means clients' Safe Browsing queries (i.e. truncated hashes of URL expressions) are not visible to the Relay. Refer to the [blogpost](https://security.googleblog.com/2024/03/blog-post.html) for an example implementation in Chrome.\n\n\u003cbr /\u003e\n\n**Fig**: OHTTP flow.\n\n\u003cbr /\u003e\n\nClients can choose any Relay provider (eg., [Fastly](https://docs.fastly.com/products/oblivious-http-relay)) to integrate with the service. The Relay must use [Oauth 2.0](https://developers.google.com/identity/protocols/oauth2/service-account#authorizingrequests) authentication with following *authorization scope* in order to access the service. \n\n\n // OAuth Authorization scope:\n https://www.googleapis.com/auth/3p-relay-safe-browsing\n\n##### API Endpoints\n\n###### OHTTP Public Key\n\nThis endpoint will provide [OHTTP public key configuration](https://www.ietf.org/rfc/rfc9458.html#name-key-configuration) as specified in [RFC 9458](https://www.ietf.org/rfc/rfc9458.html), which will be used by the client to encrypt OHTTP request. \n\n\n GET https://safebrowsingohttpgateway.googleapis.com/v1/ohttp/hpkekeyconfig?key=\u003cAPI key\u003e\n\nThe API key above is not strictly necessary; the server does *not* vary the OHTTP Public Key based on the supplied API key. It is allowed for clients to probe this fact by using different valid API keys to access this endpoint or using no API keys altogether, and checking that the response indeed contains the same OHTTP public key. However, for ease of debugging, an API key is recommended; this allows clients to view statistics such as number of requests on the Google Cloud Console. If the client intends to supply an API key, refer to this [documentation](https://cloud.google.com/docs/authentication/api-keys) on how to set up API keys.\n\nAs stated in the [privacy recommendations](https://www.ietf.org/rfc/rfc9458.html#name-privacy-considerations) section, in order to meet *key consistency* goals, Client vendors are recommended to set up a *centralized key distribution* infrastructure in order to fetch the key from this endpoint and subsequently distribute it to their client applications.\n\nAs per the [key management guidance](https://www.ietf.org/rfc/rfc9458.html#name-key-management), keys are rotated regularly on the server. Clients should refresh the key, i.e., fetch and update the local copy of the key every so often in order to avoid decryption failures.\n\nClients should refresh (fetch and update) the public key once per day. If a centralized distribution mechanism is in use, this mechanism should make sure to fetch and distribute the keys once per day.\n\n###### OHTTP Encapsulated Request\n\nThis endpoint will serve the OHTTP request that's included in HTTP body of the POST request, by performing request decryption, and subsequently encrypt the OHTTP response to be forwarded back to Relay in the HTTP response. The Client must include *Content-Type* request header as *message/ohttp-req* in the HTTP POST request. \n\n\n POST https://safebrowsingohttpgateway.googleapis.com/v1/ohttp:handleOhttpEncapsulatedRequest?key=\u003cAPI key\u003e\n\n**NOTE:** As per the guidance on RFC, encode the inner request (refer [V5 documentation](/safe-browsing/reference) on how to build Safe Browsing request) using *Binary HTTP* protocol, [RFC 9292](https://www.ietf.org/rfc/rfc9292.html).\n\n##### Client Libraries\n\n[Google Quiche](https://github.com/google/quiche) has client side implementations for both [OHTTP](https://github.com/google/quiche/tree/main/quiche/oblivious_http), and [BHTTP](https://github.com/google/quiche/tree/main/quiche/binary_http) protocols. Clients are recommended to use these libraries. Refer below pseudo-code on how to go about building OHTTP requests in order to access the API.\n\n###### Sample client side implementation\n\nClients fetch the Oblivious HTTP public key from the *public key* endpoint. Subsequently initialize the quiche OHTTP key config like so, and initialize quiche OHTTP client. \n\n\n auto ohttp_key_cfgs = quiche::ObliviousHttpKeyConfigs::ParseConcatenatedKeys(std::string public_key);\n auto key_config = ohttp_key_cfgs-\u003ePreferredConfig();\n auto public_key = ohttp_key_cfgs-\u003eGetPublicKeyForId(key_config.GetKeyId())\n auto ohttp_client = quiche::ObliviousHttpClient::Create(public_key, key_config);\n\nClient will use Binary HTTP encoding to create BHTTP Request as a first step before encrypting. \n\n\n quiche::BinaryHttpRequest::ControlData bhttp_ctrl_data{\n .method = \"POST\",\n .scheme = \"https\",\n .authority = \"safebrowsing.googleapis.com\",\n .path = \"/v5/hashes:search?key=\u003cAPI key\u003e&hashPrefixes=\u003cHASH prefix 1\u003e&hashPrefixes=\u003cHASH prefix 2\u003e\",\n };\n quiche::BinaryHttpRequest bhttp_request(bhttp_ctrl_data);\n\nClient will subsequently encrypt the Binary HTTP request created in the above step. \n\n\n auto bhttp_serialized = bhttp_request.Serialize();\n auto ohttp_request = ohttp_client.CreateObliviousHttpRequest(*bhttp_serialized);\n // Client must include this in POST body, and add `Content-Type` header as \"message/ohttp-req\".\n auto payload_include_in_post_body = ohttp_request.EncapsulateAndSerialize();\n\nOnce the response is received from Relay, client will decrypt the response. The response will include *Content-Type* response header as *ohttp-res*. \n\n\n auto ctx = std::move(ohttp_request).ReleaseContext();\n auto ohttp_response = ohttp_client.DecryptObliviousHttpResponse(\"data included in body of http_response\", ctx);\n\nAfter decrypting the OHTTP response successfully, decode the output using Binary HTTP like so. \n\n\n auto bhttp_response = BinaryHttpResponse::Create(ohttp_response.GetPlaintextData());\n if (bhttp_response.status_code() == 200) {\n auto http_response = bhttp_response.body();\n auto response_headers = bhttp_response.GetHeaderFields();\n }"]]
