NoScript для Firefox: полное руководство по новым режимам и настройке

Что такое NoScript — одно предложение

NoScript — это расширение для Firefox, которое блокирует выполнение нежелательных скриптов и других элементов страницы, давая пользователю контроль над разрешениями по доменам.

Старое против нового

Вы могли видеть более старые инструкции по NoScript, где в выпадающем меню были явные кнопки типа “Временное разрешение” и “Разрешить”. Начиная с релиза Firefox Quantum (ноябрь 2017) NoScript перешёл на компактный стиль с набором иконок. Это экономит место и упрощает чтение списка доменов, но требует привыкания.

Когда вы кликаете по значку расширения в тулбаре, оно показывает домены, которые пытаются запустить скрипты на текущей вкладке. Ниже — пример отображения для сайта NYTimes.

В новом меню вместо длинных текстовых кнопок рядом с доменом показываются иконки для разных режимов. Это компактнее, но важно понимать значение каждой иконки.

Использование иконок

Начиная с левой стороны выпадающего списка, вы увидите пять иконок в порядке: Default, Temp. Trusted, Trusted, Untrusted, Custom. Короткие определения:

• Default — поведение по умолчанию для домена (обычно запрещён).
• Temp. Trusted — временное доверие: разрешение до закрытия браузера.
• Trusted — постоянное доверие: домен всегда может запускать скрипты.
• Untrusted — полное недоверие: блокируются все скрипты и объекты.
• Custom — гибкие настройки для конкретного домена (скрипты, фреймы, объекты, шрифты и т. п.).

Обычно большинство доменов изначально не доверены. Если вы хотите, чтобы nytimes.com запускал скрипты только в рамках текущей сессии, выберите Temp. Trusted. Если сайт безопасен и вы посещаете его регулярно, переключите на Trusted.

Если выбрать Untrusted, расширение по умолчанию блокирует все скрипты на этом домене. Custom позволит задать точечные правила: разрешить скрипты, но заблокировать кастомные шрифты, или наоборот.

Кастомизация per-site

После выбора уровня разрешений NoScript запомнит ваш выбор и применит его при следующих посещениях. Для тонкой настройки нажмите последнюю (Custom) иконку рядом с доменом — откроется расширенное меню.

В этом диалоге можно включать или отключать отдельные типы контента: скрипты, объекты (plugins/Flash), фреймы, шрифты и т. д. Небольшой значок часов рядом со словом CUSTOM переключает Custom в временный режим: тогда выбранные настройки применятся только до закрытия браузера.

Совет по юзабилити: используйте Custom для сайтов, где вы хотите частично разрешить функциональность (например, видео без сторонних шрифтов или виджетов соцсетей).

Продвинутые параметры

В верхней части выпадающего меню слева находятся кнопки: закрыть меню (X), перезагрузить вкладку (круг) и логотип NoScript — он открывает расширенные опции.

В окне Advanced вы найдёте те же элементы, что и в Custom, но с глобальным эффектом. Здесь можно изменить поведение режимов Default, Trusted и Untrusted системно. Такие изменения распространятся на все домены. Будьте осторожны: глобальные разрешения уменьшают безопасность, поэтому применяйте их только если вы понимаете последствия.

Во вкладке “Per-site Permissions” перечислены все домены с вашими настройками. Это удобно для ревью доверенных сайтов и корректировки правил в удобном интерфейсе.

Повседневное использование и лучшие практики

• Используйте Temp. Trusted для одноразовых операций (просмотр видео, галереи).
• Переключайте на Trusted только для действительно надёжных сайтов, которые вы посещаете часто.
• Применяйте Custom для тонкого контроля (например, разрешить скрипты, но блокировать фреймы сторонних сайтов).
• Проверяйте Per-site Permissions раз в некоторое время и удаляйте устаревшие доверенные домены.

Ниже пример: после того как вы доверили nytimes.com, NoScript может запросить разрешения для дополнительных доменов (CDN, аналитики, плееры). Это нормальное поведение: многие современные страницы загружают контент с десятков субдоменов.

Если вы заранее внесли эти домены в белый список, лишних кликов не будет. Если нет — NoScript попросит разрешение для каждого.

Мини-методология: как настроить NoScript за 5 шагов

1. Откройте NoScript и перейдите в Advanced → Per-site Permissions.
2. Удалите все старые и подозрительные записи.
3. На практике используйте Default = строгий режим, Temp. Trusted для одноразовых действий.
4. Для часто посещаемых сайтов добавляйте Trusted только после проверки функциональности.
5. Раз в месяц просматривайте список доверенных доменов и откатывайте лишние разрешения.

Чеклист для ролей

• Для обычного пользователя:

  • Включить NoScript.
  • Разрешать сайты временно для одной сессии.
  • Не добавлять в Trusted без проверки.

• Для системного администратора/инженера безопасности:

  • Установить строгые Default-правила.
  • Вести список одобренных доменов.
  • Интегрировать проверку разрешений в процесс оценки рисков.

• Для веб-разработчика:

  • Использовать Custom для быстрого тестирования скриптов.
  • Временно включать Temp. Trusted при отладке и помнить про кэширование.

Дерево принятия решений (Mermaid)

flowchart TD
  A[Открылась страница] --> B{Нужна функциональность?}
  B -- Нет --> C[Оставить Untrusted]
  B -- Да --> D{Это доверенный сайт?}
  D -- Да --> E[Выставить Trusted]
  D -- Не уверен --> F[Temp. Trusted]
  F --> G{Всё работает?}
  G -- Да --> H[Оставить Temp. до закрытия]
  G -- Нет --> I[Перейти в Custom и тонкая настройка]
  I --> J[Разрешить только нужные элементы]

(Примечание: вставка диаграммы помогает визуализировать типичный рабочий процесс.)

Когда NoScript может не подойти — контрпримеры и ограничения

• Сайты с обширной микросервисной архитектурой могут требовать десятки доменов. Управлять разрешениями вручную неудобно.
• Некоторые веб-приложения зависят от сложных цепочек сторонних скриптов (карты, плееры, аналитика). В таких случаях без серьёзных исключений интерфейс может ломаться.
• Пользователи, которые не хотят тратить время на настройку, предпочтут менее агрессивные расширения с предопределёнными профилями.

Альтернативные подходы

• uBlock Origin: блокирует элементы на уровне фильтров (менее фокусирован на per-site скриптах, но очень эффективен для рекламы и трекеров).
• Приватный режим браузера + брандмауэр: ограничивает сторонние соединения на уровне сети.
• Инструменты Content Security Policy (CSP) на стороне сервера: контролируют загрузку внешних скриптов у разработчиков сайта.

Выбор зависит от цели: строгая блокировка скриптов (NoScript) или фильтрация рекламы и трекеров (uBlock Origin).

Критерии приёмки

• Страница функциональна после настройки: видеоплеер, галерея, формы работают как ожидается.
• Не наблюдается автоматического запуска нежелательного кода (инфомеренсы, автозапуск медиа).
• Уровень вмешательства минимален: разрешены только необходимые домены и типы элементов.

Глоссарий — 1‑строчные определения

• Script: программа на JavaScript, выполняемая в браузере для динамики страницы.
• CDN: сеть доставки контента, часто хостит скрипты и ресурсы.
• Frame: встроенный фрейм (iframe) для внешнего контента.
• CSP: политика безопасности контента, задаваемая сайтом.

Риск‑матрица и смягчения (качественно)

• Высокий риск: автоматическое выполнение сторонних скриптов — смягчение: Untrusted или Custom без скриптов.
• Средний риск: внешние фреймы и виджеты — смягчение: блокировать фреймы, разрешать только проверенные домены.
• Низкий риск: локальные скрипты сайта — смягчение: Temp. Trusted и мониторинг.

Шаблон SOP для повседневной работы с NoScript

1. При первом посещении незнакомого сайта — оставить Default/Untrusted.
2. Если контент не загружается, включить Temp. Trusted.
3. Тестировать функцию; если требуется повторный доступ — перейти в Custom и тонко настроить.
4. Для сайтов, используемых ежедневно, перевести в Trusted лишь после недели использования в Temp. Trusted.
5. Ежемесячно проверять Per-site Permissions.

Безопасность и конфиденциальность

NoScript повышает безопасность, уменьшая поверхность атаки за счёт блокировки исполняемого кода. Он не заменяет антивирус или сетевые решения, но снижает риск выполнения вредоносных JavaScript‑скриптов и автозапуска медиа.

Важно: при добавлении большого числа доверенных доменов вы снижаете эффективность защиты. Балансируйте удобство и безопасность.

Краткое резюме

NoScript в новых версиях Firefox стал компактнее и мощнее. Иконки в меню позволяют быстро переключать режимы, а Custom даёт точечный контроль над элементами страницы. Используйте временные разрешения для одноразовых задач и переводите в постоянное доверие только проверенные сайты. Систематический обзор Per-site Permissions поддержит безопасность и порядок.

Important: перед массовым добавлением доверенных доменов оцените необходимость и влияние на приватность.

Заметки: если вы разрабатываете веб‑приложение, тестируйте его поведение с включённым NoScript, чтобы понять, какие внешние зависимости критичны и какие можно заменить.