Tutorial: Adicione cabeçalhos de segurança com o motor de regras
Este tutorial mostra como implementar cabeçalhos de segurança para prevenir vulnerabilidades baseadas no navegador como HTTP Strict-Transport-Security (HSTS), X-XSS-Protection, Content-Security-Policy ou X-Frame-Options. Os atributos baseados em segurança também podem ser definidos com cookies.
O exemplo a seguir mostra como adicionar um cabeçalho de Política de Segurança de Conteúdo a todos os pedidos que correspondam ao caminho definido na rota com que a configuração do Motor de Regras está associada. Aqui, apenas permitimos que scripts do nosso site de confiança, https://apiphany.portal.azure-api.net para executar na nossa aplicação.
Neste tutorial, ficará a saber como:
- Configure uma política de segurança de conteúdo dentro do motor de regras.
Pré-requisitos
- Uma subscrição do Azure.
- Uma porta da frente azul. Para completar os passos neste tutorial, você deve ter uma porta da frente configurada com motor de regras. Para obter mais informações, consulte Quickstart: Crie uma porta frontal e configuure o seu motor de regras.
Adicione um cabeçalho de Política de Segurança de Conteúdo em portal do Azure
Dentro do recurso da porta frontal, selecione a configuração do motor rules em Definições e, em seguida, selecione o motor de regras a que pretende adicionar o cabeçalho de segurança.
Selecione Adicionar regra para adicionar uma nova regra. Forneça à regra um nome e, em seguida, selecione Adicione umcabeçalho de resposta de ação>.
Desaprote o operador ao apêndice para adicionar este cabeçalho como resposta a todos os pedidos de entrada nesta rota.
Adicione o nome do cabeçalho: Política de Segurança de Conteúdo e defina os valores que este cabeçalho deve aceitar e, em seguida, selecione Guardar. Neste cenário, escolhemos
script-src 'self' https://apiphany.portal.azure-api.net.
Nota
Os valores do cabeçalho estão limitados a 640 caracteres.
Depois de ter adicionado todas as regras que pretende à sua configuração, não se esqueça de ir à sua rota preferida e associar a configuração do seu motor de Regras à Regra da Rota. Este passo é necessário para permitir que a regra funcione.
Nota
Neste cenário, não adicionámos condições de jogo à regra. Todos os pedidos de entrada que correspondam ao caminho definido na Regra da Rota terão esta regra aplicada. Se quiser que se aplique apenas a um subconjunto desses pedidos, certifique-se de adicionar as suas condições específicas de correspondência a esta regra.
Limpar os recursos
Nos passos anteriores, configuraste cabeçalhos de segurança com o motor de regras da porta da frente. Se já não quiser a regra, pode removê-la selecionando a regra Eliminar dentro do motor de regras.
Passos seguintes
Para aprender a configurar um Firewall de Aplicações Web para a sua Porta da Frente, continue até ao próximo tutorial.