Arbeiten mit Plugins bei Verwendung von CSP
Einleitung
Die Content Security Policy (CSP) ist ein Sicherheitsstandard, der Bedrohungen wie Cross-Site-Scripting (XSS)-Angriffe verhindern soll. Wenn CSP auf Ihrem Webserver aktiviert ist, dürfen Inhalte nur aus freigegebenen Quellen geladen werden, und Anfragen an Drittanbieterdomänen, die nicht ausdrücklich zugelassen wurden, werden blockiert.
Wenn Sie ONLYOFFICE Docs (Enterprise Edition oder Developer Edition) in Ihre Weblösung integriert verwenden und CSP aktiviert ist, werden Plugins, die Drittanbieterressourcen nutzen, blockiert und funktionieren nicht ordnungsgemäß. Um dies zu beheben, müssen Sie die von diesen Plugins verwendeten Domänen zur CSP-Liste der zulässigen Quellen hinzufügen.
Hinzufügen vertrauenswürdiger Domänen
CSP wird über den HTTP-Header Content-Security-Policy konfiguriert. Der Header verwendet Anweisungen, um die zulässigen Quellen für verschiedene Inhaltstypen anzugeben. Die Anweisung default-src wird für jeden Ressourcentyp verwendet, für den keine eigene Anweisung angegeben ist. 'self' bedeutet, dass Inhalte nur von der aktuellen Domäne geladen werden können.
Ein typischer Header sieht wie folgt aus:
Header set Content-Security-Policy "default-src 'self'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
Um einem Plugin den Zugriff auf die benötigte externe Domäne zu erlauben, fügen Sie diese Domäne zur Anweisung default-src hinzu:
default-src 'self' *.trusted-domain.com
Dadurch werden Anfragen an die angegebene Domäne und ihre Subdomänen sowie das Laden von Inhalten von diesen zugelassen. Wiederholen Sie dies für jedes Plugin, das externen Zugriff benötigt.
Der genaue Speicherort des HTTP-Headers hängt von Ihrem Webserver und Ihrer Integrationskonfiguration ab. Diese Anleitung beschreibt das Grundprinzip.
Um festzustellen, welche Domänen ein Plugin benötigt, öffnen Sie die Entwicklertools des Browsers, wechseln Sie zur Registerkarte Netzwerk und starten Sie das Plugin. Alle blockierten externen Anfragen werden als fehlgeschlagen angezeigt, und die Domäne in diesen Anfragen müssen Sie zur CSP-Liste der zulässigen Quellen hinzufügen.
Beispiel: Zulassen des YouTube-Plugins
Das Plugin youtube lädt Videoinhalte von www.youtube.com. Wenn diese Domäne nicht zur CSP-Liste der zulässigen Quellen hinzugefügt wird, wird das Laden von Videos durch das Plugin blockiert.
Um es zuzulassen, fügen Sie *www.youtube.com zur Anweisung default-src hinzu:
Header set Content-Security-Policy "default-src 'self' *www.youtube.com; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
Gehen Sie bei jedem anderen installierten Plugin, das Drittanbieterressourcen nutzt, genauso vor und fügen Sie die benötigte Domäne auf die gleiche Weise zur Anweisung hinzu.