Розширені налаштування

Робочий простір Security дозволяє додатково захищати контент і дані вашого сайту від загроз безпеці, безпосередньо від дизайн-студії Power Pages. Використовуйте додаткові налаштування, щоб швидко та ефективно налаштовувати HTTP-заголовки вашого сайту, налаштовувати політику безпеки контенту (CSP), спільний доступ до ресурсів між різними джерелами (CORS), файли cookie, дозволи тощо.

1. Увійдіть у Power Pages і відкрийте свій сайт для редагування.
2. У лівій області переходів виберіть Робоча область безпеки , а потім – Додаткові настройки.

Налаштування політики безпеки контенту (CSP)

Політика безпеки вмісту (CSP) використовується веб-серверами для забезпечення дотримання набору правил безпеки для веб-сторінки. Він допомагає захистити сайти від різних типів атак безпеки, таких як крос-сайтове скриптування (XSS), ін'єкція даних та інші атаки з ін'єкціями коду.

Директиви

Підтримуються наступні директиви.

Директива	опис
Стандартне джерело	Вказує джерело за замовчуванням для контенту, який не визначений явно іншими директивами. Він діє як запасний варіант для інших директив.
Джерело зображення	Визначає дійсні джерела зображень і контролює домени, з яких можна завантажувати зображення.
Джерело шрифтів	Вказує допустимі джерела для шрифтів. Використовується для управління доменами, з яких можуть завантажуватися веб-шрифти.
Джерело скриптів	Вказує допустимі джерела для коду JavaScript. Джерело скрипту може включати конкретні домени та «я» для того самого походження. Оберіть, чи вмикати nonce, чи вводити небезпечну оцінку.
Джерело стилів	Вказує коректні джерела для таблиць стилів. Подібно до script-src, він може включати домени та «себе».
Підключити джерело	Вказує допустимі джерела для XMLHttpRequest, WebSocket або EventSource. Контролює домени, до яких сторінка може робити мережеві запити.
Джерело медіафайлів	Визначає допустимі джерела звуку та відео. Використовується для контролю доменів, з яких можуть бути завантажені медіаресурси.
Джерело фреймів	Вказує допустимі джерела для кадрів. Керує доменами, з яких сторінка може вбудовувати фрейми.
Предки рамок	Вказує допустимі джерела, які можуть вбудовувати поточну сторінку як фрейм. Керує, яким доменам дозволено вбудовувати сторінку.
Форма дії	Вказує коректні джерела для надсилання форм. Визначає домени, на які можна надсилати дані форми.
Джерело об’єктів	Вказує допустимі джерела для ресурсів елемента об’єкта, таких як Flash-файли або інші вбудовані об’єкти. Це допомагає контролювати, з яких джерел можуть бути завантажені ці об’єкти.
Джерело скриптів Worker	Визначає дійсні джерела для веб-працівників, зокрема відданих працівників, спільних працівників і працівників служб. Це допомагає контролювати, з якого джерела ці робочі скрипти можуть завантажуватися та виконуватися.
Джерело маніфестів	Визначає дійсні джерела для веб-працівників, зокрема відданих працівників, спільних працівників і працівників служб. Це допомагає контролювати, з якого джерела ці робочі скрипти можуть завантажуватися та виконуватися.
Дочірнє джерело	Визначає дійсні джерела для веб-працівників, зокрема відданих працівників, спільних працівників і працівників служб. Це допомагає контролювати, з якого джерела ці робочі скрипти можуть завантажуватися та виконуватися.

Для кожної директиви ви можете вибрати конкретну URL-адресу, всі домени або жодного.

Для розширеного налаштування перейдіть у розділ «Керування політикою безпеки контенту вашого сайту».

Налаштування спільного доступу до ресурсів між різними джерелами (CORS)

Спільне використання ресурсів між різними джерелами (CORS) використовується веб-браузерами, щоб дозволити або обмежити веб-програми, які працюють в одному домені, запитувати та отримувати доступ до ресурсів з іншого домену.

Директиви

Підтримуються наступні директиви.

Директива	опис	Значення
Дозволити доступ до ресурсів із сервера	Також відомий як Access-Control-Allow-Origin, допомагає серверу вирішити, яким джерелам дозволено доступ до його ресурсів. Джерелами можуть бути домени, протоколи та порти.	Виберіть URL-адреси доменів
Надсилати заголовки під час виконання запитів до сервера	Також відомий як Access-Control-Allow-Headers, цей заголовок визначає, які заголовки інше джерело може відправляти в запитах на доступ до ресурсів на сервері.	Виберіть конкретні заголовки з наступними дозволами: Походження Прийняти авторизацію Контент – тип
Показувати значення заголовків у клієнтському коді	Також відома як Access-Control-Expose-Headers, ця директива вказує браузеру, які заголовки відповідей повинні бути виставлені та доступні для запитуючого коду на стороні клієнта в запитах між різними джерелами.	Виберіть конкретні заголовки з наступними дозволами: Походження Прийняти авторизацію Контент – тип
Визначити методи отримання доступу до ресурсів	Також відомий як Access-Control-Allow-Methods, допомагає визначити, які методи HTTP дозволені при доступі до ресурсів на сервері з іншого походження.	GET - Запитує дані з вказаного ресурсу POST - Відправляє дані для обробки на вказаний ресурс PUT - Оновлює або замінює ресурс за певною URL-адресою HEAD - Те ж саме, що і GET, але отримує тільки заголовки, а не фактичний контент PATCH - Частково змінює ресурс OPTIONS - Запитує інформацію про доступні для ресурсу або сервера варіанти зв’язку. DELETE - Видаляє вказаний ресурс
Указати тривалість кешування результатів запиту	Також відомий як Access-Control-Max-Age, цей заголовок визначає тривалість кешування браузером результатів попереднього запиту.	Укажіть тривалість у часі (секундах)
Дозволити сайту ділитися обліковими даними	Також відомий як Access-Control-Allow-Credentials, цей заголовок визначає, чи може веб-сайт ділитися обліковими даними (наприклад, файлами cookie, заголовками авторизації або клієнтськими сертифікатами SSL) під час виконання запитів, що не залежать від джерела.	Так або ні
Відображати веб-сторінку як iFrame з того самого джерела	Також відомий як X-Frame-Options, цей заголовок дозволяє сторінці відображатися лише в iFrame, якщо запит надходить із того самого джерела.	Так або ні
Блокувати аналіз MIME	Також відомий як X-Content-Type-Options: no-sniff, цей заголовок забороняє виконувати аналіз трафіку типу MIME (тип вмісту) або вгадувати тип вмісту ресурсу.	Так або ні

Налаштування файлів cookie (CSP)

Заголовок Cookie в HTTP-запиті містить інформацію про файли cookie, які раніше зберігалися веб-сайтом у вашому браузері. Коли ви відвідуєте веб-сайт, ваш браузер надсилає заголовок файлу cookie, що містить усі відповідні файли cookie, пов’язані з цим сайтом, назад на сервер.

Директиви

Підтримуються наступні директиви.

Директива	опис	Заголовок
Правила передавання для всіх файлів cookie	Контролюйте, як файли cookie надсилаються за допомогою запитів між різними джерелами. Це функція безпеки, спрямована на пом’якшення певних типів атак із підробкою міжсайтових запитів (CSRF) та витоку інформації.	Цей параметр відповідає заголовку SameSite/Default.
Правила передавання для певних файлів cookie	Контролюйте, як файли cookie надсилаються за допомогою запитів між різними джерелами. Це функція безпеки, спрямована на пом’якшення певних типів атак із підробкою міжсайтових запитів (CSRF) та витоку інформації.	Цей параметр відповідає заголовку SameSite/Specific cookie.

Налаштування політики дозволів (CSP)

Заголовок «Політика дозволів» дозволяє веб-розробникам контролювати, які функції веб-платформи дозволені або заборонені на веб-сторінці.

Директиви

Наступні директиви підтримуються та керують доступом до відповідних API.

• Акселерометр
  
• Ambient-Light-Sensor
  
• Автовідтворення
  
• Акумулятор
  
• Камера
  
• Відображення
  
• Document-Domain
  
• Encrypted-Media
  
• Execution-While-Not-Rendered
  
• Execution-While-Out-Of-Viewport
  
• Fullscreen
  Gamepad

• Визначення географічного положення
  
• Гіроскоп
  
• Hid
  
• Identity-Credentials-Get
  
• Idle-Detection
  
• Local-Fonts
  
• Магнітометр
  
• Мікрофон
  
• Midi
  
• Otp-Credentials
  
• Оплата

• Picture-In-Picture
  
• Publickey-Credentials-Create
  
• Publickey-Credentials-Get
  
• Screen-Wake-Lock
  
• Serial
  
• Speaker-Selection
  
• Storage-Access
  
• Usb
  
• Web-Share
  
• Window-Management
  
• Xr-Spatial-Tracking

Налаштуйте більше HTTP-заголовків

Дозволити безпечне з’єднання через HTTPS

Налаштування, що відповідає заголовку HTTP Strict-Transport-Security, інформує браузер про те, що він повинен підключатися до веб-сайту тільки через HTTPS, навіть якщо користувач введе «http://» в адресному рядку. Це допомагає запобігти атакам типу "людина посередині", гарантуючи, що весь зв’язок із сервером зашифровано, і захищає від певних типів атак, таких як атаки на пониження версії протоколу та викрадення файлів cookie.

Нотатка

З міркувань безпеки цей параметр не можна змінити.

Включення інформації про перенаправлення в заголовки HTTP

Заголовок Referrer-Policy HTTP контролює, скільки інформації про джерело запиту (інформації про реферера) буде розкрито в HTTP-заголовках під час переходу користувача з однієї сторінки на іншу. Цей заголовок допомагає контролювати аспекти конфіденційності та безпеки, пов’язані з інформацією про перенаправлення.

значення	опис
No-referrer	Відсутність перенаправлення означає, що в заголовках не надсилається інформація про перенаправлення. Цей параметр є найбільш дбайливим до конфіденційності.
No-Referrer-When-Downgrade	Він надсилає повну інформацію про переходів під час переходу з HTTPS на сайт HTTP, але лише походження (без шляху чи запиту) під час навігації між сайтами HTTPS.
Те саме походження - Реферер-політика	Same-origin надсилає повну інформацію про реферера лише тоді, коли запит надходить до того самого джерела. Для запитів між різними джерелами надсилається лише джерело походження.
Джерело	Origin надсилає джерело переходу, але не містить інформацію про шлях або запит, як для запитів з однаковим походженням, так і для запитів із перехресним походженням.
Strict-Origin	Подібно до origin, але надсилає інформацію про джерело трафіку лише для запитів із того самого джерела.
Origin-When-Cross-Origin	Подібно до origin, але надсилає інформацію про джерело трафіку лише для запитів із того самого джерела.