Arbeiten mit Plugins bei Verwendung von CSP

Einleitung

Die Content Security Policy (CSP) ist ein Sicherheitsstandard, der Bedrohungen wie Cross-Site-Scripting (XSS)-Angriffe usw. verhindern soll. Bei aktivierter CSP dürfen Inhalte nur aus freigegebenen Quellen geladen werden. Insbesondere werden Anfragen an Drittanbieter-Domains, die nicht ausdrücklich zugelassen wurden, unterbunden.

Wenn Sie ONLYOFFICE Docs Enterprise Edition in Ihre Weblösung integriert verwenden und CSP auf Ihrem Webserver zur Verbesserung der Sicherheit aktiviert ist, können die CSP-Standardeinstellungen Probleme verursachen. ONLYOFFICE Online Editoren enthalten eine Reihe von Plugins, von denen einige Drittanbieterressourcen nutzen und Anfragen an Drittanbieterdomänen stellen, z. B. das YouTube-Plugin. Da CSP Anfragen an Drittanbieterdomänen verbietet, funktioniert das Plugin nicht ordnungsgemäß und blockiert beispielsweise das Laden von YouTube-Videos.

Hinzufügen von Drittanbieterdomänen zur Liste der zulässigen Quellen

Damit Plugins korrekt funktionieren, müssen Sie Anfragen an bestimmte Domänen zulassen (die vollständige Liste finden Sie unten). Dies erreichen Sie durch die Änderung des HTTP-Headers, der CSP aktiviert. Je nach verwendeter Lösung kann sich dieser Header in unterschiedlichen Dateien befinden. Diese Anleitung beschreibt die Grundprinzipien, nicht die Einzelfälle. Der Header sollte wie folgt aussehen:

Header set Content-Security-Policy "default-src 'self'; script-src 'self'; connect-src 'self';  img-src 'self'; style-src 'self';"

Diese Zeichenfolge enthält Anweisungen, die die zulässigen Quellen für verschiedene Inhaltstypen angeben: Skripte, Stylesheets, Schriftarten, Bilder, <audio> oder <video> HTML5-Elemente usw.

Die Direktive default-src wird angewendet, wenn für einen bestimmten Ressourcentyp keine Direktive angegeben ist.

‘self’ bedeutet, dass die Inhalte nur von der aktuellen Domäne geladen werden können.

Es ist notwendig, die Direktive default-src zu bearbeiten und die Werte der vertrauenswürdigen Domänen hinzuzufügen:

default-src 'self' *.trusted1.com *.trusted2.com

Dadurch können Anfragen an die angegebenen vertrauenswürdigen Domänen *.trusted1.com und *.trusted2.com sowie deren Subdomänen gestellt und Inhalte daraus geladen werden.

Liste der Domänen von Drittanbietern

Die folgenden Plugins stellen Anfragen an Drittdomänen:

Die folgenden oben aufgeführten Plugins sind standardmäßig in ONLYOFFICE Online Editoren enthalten: ocr, speech, thesaurus, translate, youtube.

Das Clipart-Plugin ist nicht in Online-Editoren enthalten, ist aber unter https://github.com/ONLYOFFICE/sdkjs-plugins verfügbar und Sie können es manuell zu Editoren hinzufügen.

Um alle genannten Domänen zur Liste der zulässigen Quellen hinzuzufügen, sollte der HTTP-Header folgendermaßen aussehen:

Header set Content-Security-Policy "default-src 'self' *openclipart.org *code.responsivevoice.org *www.youtube.com *words.bighugelabs.com *translate.yandex.net *cdn.rawgit.com; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"