CSP kullanılırken eklentilerle çalışma
Giriş
İçerik Güvenliği Politikası (CSP), Siteler Arası Betik Çalıştırma (XSS) saldırıları gibi tehditleri önlemeyi amaçlayan bir güvenlik standardıdır. Web sunucunuzda CSP etkinleştirildiğinde içerik yüklemesi yalnızca onaylı kaynaklarla sınırlanır ve açıkça izin verilmemiş üçüncü taraf alan adlarına yapılan istekler engellenir.
Web çözümünüzle tümleştirilmiş ONLYOFFICE Docs (Enterprise Edition veya Developer Edition) kullanıyorsanız ve CSP etkinse, üçüncü taraf kaynaklara dayanan eklentilerin doğru çalışması engellenir. Bunu düzeltmek için bu eklentilerin kullandığı alan adlarını CSP izin listenize eklemeniz gerekir.
Güvenilir alan adları ekleme
CSP, Content-Security-Policy HTTP üst bilgisi aracılığıyla yapılandırılır. Üst bilgi, farklı içerik türleri için izin verilen kaynakları belirtmek üzere yönergeler kullanır. default-src yönergesi, kendi yönergesi olmayan tüm kaynak türleri için yedek görevi görür. 'self', içeriğin yalnızca geçerli alan adından yüklenebileceği anlamına gelir.
Tipik bir üst bilgi şöyle görünür:
Header set Content-Security-Policy "default-src 'self'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
Bir eklentinin ihtiyaç duyduğu harici alan adına erişmesine izin vermek için bu alan adını default-src yönergesine ekleyin:
default-src 'self' *.trusted-domain.com
Bu, belirtilen alan adına ve alt alan adlarına istek yapılmasına ve içerik yüklenmesine izin verir. Harici erişime ihtiyaç duyan her eklenti için bu işlemi tekrarlayın.
HTTP üst bilgisinin tam konumu web sunucunuza ve tümleştirme yapınıza bağlıdır. Bu makale genel ilkeyi anlatır.
Bir eklentinin hangi alan adlarına ihtiyaç duyduğunu belirlemek için tarayıcının geliştirici araçlarını açın, Network sekmesine gidin ve eklentiyi çalıştırın. Engellenen harici istekler başarısız olarak görünür; bu isteklerdeki alan adı, CSP izin listenize eklemeniz gereken alan adıdır.
Örnek: YouTube eklentisine izin verme
youtube eklentisi video içeriğini www.youtube.com adresinden yükler. Bu alan adı CSP izin listesine eklenmezse eklentinin video yüklemesi engellenir.
Buna izin vermek için *www.youtube.com ifadesini default-src yönergesine ekleyin:
Header set Content-Security-Policy "default-src 'self' *www.youtube.com; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
Üçüncü taraf kaynakları kullanan diğer yüklü eklentiler için de aynı yöntemi uygulayın ve gereken alan adını yönergeye aynı şekilde ekleyin.