API- und Site-Sicherheit

Hier verwalten Sie die Origins, von denen externe Browser-Apps die Webspace-API und WebSocket aufrufen dürfen, sowie die CSP der bereitgestellten Webansichten.

Zulässige Origins

Geben Sie pro Zeile einen Origin ein.

https://app.example.com
https://*.example.com

Ein Platzhalter erlaubt nur Subdomains. Auch wenn Sie https://*.example.com registrieren, ist https://example.com nicht enthalten. Tragen Sie es bei Bedarf separat ein. Für Produktionsdienste wird HTTPS empfohlen.

Die Origin-Freigabe legt den Umfang der Cross-Origin-Aufrufe des Browsers fest. Die Anmeldung und die ACL jedes SFN-Endpunkts gelten weiterhin.

Content-Security-Policy

• Web-App-Kompatibilität: Verwenden Sie diesen Modus, wenn externe CDNs und das übliche Verhalten von Web-Apps weitgehend erlaubt sein sollen.
• Strenger Modus: Beschränkt die Seite im Wesentlichen auf eigene Ressourcen. Direkt in das HTML geschriebene Skripte und Styles sowie eval werden blockiert; bei der ersten Veröffentlichung eines Frontends wird mit diesem Modus gestartet. Prüfen Sie bei bestehenden Ansichten, die solchen Code benötigen, zuerst die Kompatibilität.

Unter Externe Domains können Sie Quellen getrennt für script, style, image, font, connect, media, frame und frame ancestor hinzufügen. Registrieren Sie nur die benötigten Domains und prüfen Sie nach dem Speichern Anmeldung, API, WebSocket, Bilder und iframes unter der tatsächlichen Bereitstellungsadresse.

Die Richtlinie wird in frontend/security.json übernommen. Eine fehlerhafte CSP kann auch eine funktionierende Seite blockieren. Notieren Sie sich daher vor Änderungen die bisherigen Werte.