Thiết đặt nâng cao

Không gian làm việc Bảo mật cho phép bạn bảo vệ hơn nữa nội dung và dữ liệu trang web của mình khỏi các mối đe dọa bảo mật, trực tiếp từ studio thiết kế Power Pages. Sử dụng Cài đặt nâng cao để cấu hình tiêu đề HTTP của trang web của bạn một cách nhanh chóng và hiệu quả, cấu hình Chính sách bảo mật nội dung (CSP), Chia sẻ tài nguyên nguồn gốc chéo (CORS), cookie, quyền và nhiều tính năng khác.

  1. Đăng nhập vào Power Pages và mở trang web của bạn để chỉnh sửa.
  2. Chọn Không gian làm việc Bảo mật từ dẫn hướng bên trái, rồi chọn Cài đặt nâng cao.

Cấu hình Chính sách bảo mật nội dung (CSP)

Chính sách bảo mật nội dung (CSP) được máy chủ web sử dụng để thực thi một bộ quy tắc bảo mật cho một trang web. Nó giúp bảo vệ các trang web khỏi các loại tấn công bảo mật khác nhau như tập lệnh chéo trang web (XSS), chèn dữ liệu và các cuộc tấn công chèn mã khác.

Chỉ thị

Các chỉ thị sau đây được hỗ trợ.

Chỉ thị Mô tả
Nguồn mặc định Chỉ định nguồn mặc định cho nội dung không được xác định rõ ràng bởi các chỉ thị khác. Nó đóng vai trò là giải pháp dự phòng cho các chỉ thị khác.
Nguồn hình ảnh Chỉ định các nguồn hợp lệ cho hình ảnh và kiểm soát các miền mà từ đó hình ảnh có thể được tải.
Nguồn phông chữ Chỉ định nguồn hợp lệ cho phông chữ. Được sử dụng để kiểm soát các miền mà phông chữ web có thể được tải.
Nguồn tập lệnh Chỉ định nguồn hợp lệ cho mã JavaScript. Nguồn tập lệnh có thể bao gồm các miền cụ thể và 'bản thân' cho cùng một nguồn gốc. Chọn bật nonce hay tiêm đánh giá không an toàn.
Nguồn kiểu Chỉ định nguồn hợp lệ cho bảng định kiểu. Tương tự như script-src, nó có thể bao gồm tên miền và 'self'.
Nguồn kết nối Chỉ định các nguồn hợp lệ cho XMLHttpRequest, WebSocket hoặc EventSource. Kiểm soát các miền mà trang có thể thực hiện yêu cầu mạng.
Nguồn phương tiện Chỉ định nguồn hợp lệ cho âm thanh và video. Được sử dụng để kiểm soát các miền mà từ đó có thể tải tài nguyên phương tiện.
Nguồn khung Chỉ định nguồn hợp lệ cho khung. Kiểm soát các miền mà trang có thể nhúng khung.
Tổ tiên khung Chỉ định các nguồn hợp lệ có thể nhúng trang hiện tại dưới dạng khung. Kiểm soát những miền nào được phép nhúng trang.
Biểu mẫu Hành động Chỉ định nguồn hợp lệ để gửi biểu mẫu. Xác định các miền mà dữ liệu biểu mẫu có thể được gửi tới.
Nguồn đối tượng Chỉ định các nguồn hợp lệ cho các tài nguyên của phần tử đối tượng, chẳng hạn như tệp Flash hoặc các đối tượng nhúng khác. Nó giúp kiểm soát nguồn gốc mà các đối tượng này có thể được tải.
Nguồn máy thợ Chỉ định các nguồn hợp lệ cho các công cụ web, bao gồm công cụ chuyên dụng, công cụ chia sẻ và công cụ dịch vụ. Nó giúp kiểm soát nguồn gốc mà các tập lệnh công nhân này có thể được tải và thực thi.
Nguồn tệp kê khai Chỉ định các nguồn hợp lệ cho các công cụ web, bao gồm công cụ chuyên dụng, công cụ chia sẻ và công cụ dịch vụ. Nó giúp kiểm soát nguồn gốc mà các tập lệnh công nhân này có thể được tải và thực thi.
Nguồn con Chỉ định các nguồn hợp lệ cho các công cụ web, bao gồm công cụ chuyên dụng, công cụ chia sẻ và công cụ dịch vụ. Nó giúp kiểm soát nguồn gốc mà các tập lệnh công nhân này có thể được tải và thực thi.

Đối với mỗi chỉ thị, bạn có thể chọn URL cụ thể, tất cả tên miền hoặc không chọn gì cả.

Để biết cấu hình nâng cao, hãy chuyển đến Quản lý Chính sách Bảo mật Nội dung của trang web của bạn.

Cấu hình Chia sẻ tài nguyên nguồn gốc chéo (CORS)

Chia sẻ tài nguyên giữa các nguồn gốc (CORS) được trình duyệt web sử dụng để cho phép hoặc hạn chế các ứng dụng web chạy trong một miền yêu cầu và truy cập tài nguyên từ miền khác.

Chỉ thị

Các chỉ thị sau đây được hỗ trợ.

Chỉ thị Mô tả Giá trị
Cho phép truy cập tài nguyên từ máy chủ Còn được gọi là Access-Control-Allow-Origin, giúp máy chủ quyết định nguồn gốc nào được phép truy cập vào tài nguyên của nó. Nguồn gốc có thể là tên miền, giao thức và cổng. Chọn URL tên miền
Gửi tiêu đề trong khi yêu cầu máy chủ Còn gọi là Access-Control-Allow-Headers, giúp xác định những tiêu đề có thể được gửi trong các yêu cầu từ nguồn gốc khác để truy cập tài nguyên trên máy chủ. Chọn các tiêu đề cụ thể với các quyền sau
Nguồn
Chấp nhận
Ủy quyền
Nội dung – loại
Hiển thị các giá trị tiêu đề trong mã phía máy khách Còn được gọi là Access-Control-Expose-Headers, chỉ thị này hướng dẫn trình duyệt về những tiêu đề phản hồi nào sẽ được hiển thị và cho phép mã phía máy khách yêu cầu trong các yêu cầu xuyên nguồn gốc truy cập. Chọn các tiêu đề cụ thể với các quyền sau
Nguồn
Chấp nhận
Ủy quyền
Nội dung – loại
Xác định các phương thức truy cập tài nguyên Còn được gọi là Access-Control-Allow-Methods, giúp xác định phương thức HTTP nào được phép khi truy cập tài nguyên trên máy chủ từ một nguồn khác. GET - Yêu cầu dữ liệu từ một tài nguyên được chỉ định
POST - Gửi dữ liệu cần xử lý đến một tài nguyên được chỉ định
PUT - Cập nhật hoặc thay thế một tài nguyên tại một URL cụ thể
HEAD - Giống như GET nhưng chỉ truy xuất các tiêu đề chứ không phải nội dung thực tế
PATCH - Sửa đổi một phần tài nguyên
OPTIONS - Yêu cầu thông tin về các tùy chọn giao tiếp có sẵn cho một tài nguyên hoặc máy chủ
DELETE - Xóa tài nguyên được chỉ định
Chỉ định thời lượng để lưu kết quả yêu cầu vào bộ đệm ẩn Còn gọi là Access-Control-Max-Age, giúp xác định khoảng thời gian mà trình duyệt có thể lưu kết quả của yêu cầu kiểm tra trước khi triển khai vào bộ đệm ẩn. Chỉ định thời lượng tính bằng giây
Cho phép site chia sẻ thông tin xác thực Còn gọi là Access-Control-Allow-Credentials, giúp xác định xem site có thể chia sẻ thông tin xác thực (như cookie, tiêu đề ủy quyền hoặc chứng chỉ SSL phía máy khách) trong các yêu cầu khác nguồn gốc hay không. Có/Không
Hiển thị trang web dưới dạng iFrame từ cùng nguồn Còn gọi là X-Frame-Options, chỉ cho phép trang hiển thị trong iframe nếu yêu cầu đến từ cùng nguồn gốc. Có/Không
Chặn dò tìm MIME Còn gọi là X-Content-Type-Options: no-sniff, tiêu đề này giúp ngăn trình duyệt web dò tìm loại MIME (loại nội dung) hoặc đoán loại nội dung của tài nguyên. Có/Không

Cấu hình cookie (CSP)

Tiêu đề Cookie trong yêu cầu HTTP chứa thông tin về cookie trước đó được trang web lưu trữ trong trình duyệt của bạn. Khi bạn truy cập một trang web, trình duyệt của bạn sẽ gửi tiêu đề Cookie chứa tất cả các cookie có liên quan đến trang web đó trở lại máy chủ.

Chỉ thị

Các chỉ thị sau đây được hỗ trợ.

Chỉ thị Mô tả Tiêu đề
Quy tắc chuyển cho tất cả cookie Kiểm soát cách cookie được gửi bằng các yêu cầu xuyên nguồn gốc. Đây là tính năng bảo mật nhằm mục đích giảm thiểu một số loại tấn công làm giả yêu cầu liên trang (CSRF) và rò rỉ thông tin. Thiết lập này tương ứng với tiêu đề SameSite/Default.
Quy tắc chuyển cho cookie cụ thể Kiểm soát cách cookie được gửi bằng các yêu cầu xuyên nguồn gốc. Đây là tính năng bảo mật nhằm mục đích giảm thiểu một số loại tấn công làm giả yêu cầu liên trang (CSRF) và rò rỉ thông tin. Thiết lập này tương ứng với tiêu đề cookie SameSite/Specific.

Cấu hình Chính sách Quyền (CSP)

Tiêu đề Chính sách quyền cho phép các nhà phát triển web kiểm soát những tính năng nền tảng web nào được phép hoặc bị từ chối trên một trang web.

Chỉ thị

Các chỉ thị sau đây được hỗ trợ và kiểm soát quyền truy cập vào API tương ứng của chúng.

  • Accelerometer
  • Ambient-Light-Sensor
  • Phát tự động
  • Pin
  • Máy ảnh
  • Hiển thị
  • Document-Domain
  • Encrypted-Media
  • Execution-While-Not-Rendered
  • Execution-While-Out-Of-Viewport
  • Fullscreen
    Gamepad
  • Vị trí địa lý
  • Con quay hồi chuyển
  • Hid
  • Identity-Credentials-Get
  • Idle-Detection
  • Local-Fonts
  • Từ kế
  • Micrô
  • Midi
  • Otp-Credentials
  • Thanh toán
  • Picture-In-Picture
  • Publickey-Credentials-Create
  • Publickey-Credentials-Get
  • Screen-Wake-Lock
  • Serial
  • Speaker-Selection
  • Storage-Access
  • Usb
  • Web-Share
  • Window-Management
  • Xr-Spatial-Tracking

Cấu hình thêm Tiêu đề HTTP

Cho phép kết nối an toàn qua HTTPS

Thiết lập tương ứng với tiêu đề HTTP Strict-Transport-Security thông báo cho trình duyệt rằng nó chỉ nên kết nối với trang web qua HTTPS, ngay cả khi người dùng nhập "http:// " trong thanh địa chỉ. Nó giúp ngăn chặn các cuộc tấn công trung gian bằng cách đảm bảo mọi thông tin liên lạc với máy chủ được mã hóa và bảo vệ chống lại một số loại tấn công nhất định, chẳng hạn như tấn công hạ cấp giao thức và chiếm đoạt cookie.

Lưu ý

Vì lý do bảo mật, không thể thay đổi cài đặt này.

Bao gồm thông tin giới thiệu trong tiêu đề HTTP

Tiêu đề HTTP Referrer-Policy kiểm soát lượng thông tin về nguồn gốc của yêu cầu (thông tin liên kết giới thiệu) được tiết lộ trong tiêu đề HTTP khi người dùng điều hướng từ trang này sang trang khác. Tiêu đề này giúp kiểm soát các khía cạnh riêng tư và bảo mật liên quan đến thông tin người giới thiệu.

giá trị Mô tả
Không có nguồn giới thiệu Không có người giới thiệu nghĩa là không có thông tin người giới thiệu nào được gửi trong tiêu đề. Cài đặt này là tùy chọn bảo mật quyền riêng tư nhất.
Không có nguồn giới thiệu khi giảm cấp Nó gửi thông tin giới thiệu đầy đủ khi điều hướng từ trang web HTTPS đến trang web HTTP nhưng chỉ gửi thông tin gốc (không có đường dẫn hoặc truy vấn) khi điều hướng giữa các trang web HTTPS.
Cùng nguồn gốc - Chính sách giới thiệu Same-origin chỉ gửi thông tin giới thiệu đầy đủ khi yêu cầu đến cùng một nguồn gốc. Đối với các yêu cầu liên nguồn, chỉ có nguồn gốc được gửi.
Nguồn gốc Nguồn gốc gửi nguồn gốc của người giới thiệu, nhưng không có thông tin đường dẫn hoặc truy vấn, cho cả yêu cầu cùng nguồn gốc và yêu cầu khác nguồn gốc.
Nguồn gốc nghiêm ngặt Tương tự như nguồn gốc, nhưng chỉ gửi thông tin nguồn giới thiệu cho yêu cầu cùng nguồn gốc.
Nguồn gốc khi khác nguồn gốc Tương tự như nguồn gốc, nhưng chỉ gửi thông tin nguồn giới thiệu cho yêu cầu cùng nguồn gốc.
  • Last updated on