Tutorial: Adicione cabeçalhos de segurança com o motor de regras

Este tutorial mostra como implementar cabeçalhos de segurança para prevenir vulnerabilidades baseadas no navegador como HTTP Strict-Transport-Security (HSTS), X-XSS-Protection, Content-Security-Policy ou X-Frame-Options. Os atributos baseados em segurança também podem ser definidos com cookies.

O exemplo a seguir mostra como adicionar um cabeçalho de Política de Segurança de Conteúdo a todos os pedidos que correspondam ao caminho definido na rota com que a configuração do Motor de Regras está associada. Aqui, apenas permitimos que scripts do nosso site de confiança, https://apiphany.portal.azure-api.net para executar na nossa aplicação.

Neste tutorial, ficará a saber como:

  • Configure uma política de segurança de conteúdo dentro do motor de regras.

Pré-requisitos

Adicione um cabeçalho de Política de Segurança de Conteúdo em portal do Azure

  1. Dentro do recurso da porta frontal, selecione a configuração do motor rules em Definições e, em seguida, selecione o motor de regras a que pretende adicionar o cabeçalho de segurança.

    Screenshot mostrando regras página de configuração do motor da Porta frontal Azure.

  2. Selecione Adicionar regra para adicionar uma nova regra. Forneça à regra um nome e, em seguida, selecione Adicione umcabeçalho de resposta de ação>.

  3. Desaprote o operador ao apêndice para adicionar este cabeçalho como resposta a todos os pedidos de entrada nesta rota.

  4. Adicione o nome do cabeçalho: Política de Segurança de Conteúdo e defina os valores que este cabeçalho deve aceitar e, em seguida, selecione Guardar. Neste cenário, escolhemos script-src 'self' https://apiphany.portal.azure-api.net.

    Screenshot mostrando o cabeçalho de segurança adicionado sob.

    Nota

    Os valores do cabeçalho estão limitados a 640 caracteres.

  5. Depois de ter adicionado todas as regras que pretende à sua configuração, não se esqueça de ir à sua rota preferida e associar a configuração do seu motor de Regras à Regra da Rota. Este passo é necessário para permitir que a regra funcione.

    Screenshot mostrando como associar uma regra de encaminhamento.

    Nota

    Neste cenário, não adicionámos condições de jogo à regra. Todos os pedidos de entrada que correspondam ao caminho definido na Regra da Rota terão esta regra aplicada. Se quiser que se aplique apenas a um subconjunto desses pedidos, certifique-se de adicionar as suas condições específicas de correspondência a esta regra.

Limpar os recursos

Nos passos anteriores, configuraste cabeçalhos de segurança com o motor de regras da porta da frente. Se já não quiser a regra, pode removê-la selecionando a regra Eliminar dentro do motor de regras.

Screenshot mostrando como apagar a regra de segurança.

Passos seguintes

Para aprender a configurar um Firewall de Aplicações Web para a sua Porta da Frente, continue até ao próximo tutorial.