Usando EdgeJS de Layer0 para configurar encabezados de seguridad personalizados

Encabezado de X-Frame-Options

El encabezado X-Frame-Options indica si se debe permitir a un navegador representar una página en una etiqueta (s) frame, iframe, embed u objeto para evitar Ataques de clics jacking. Si se establece en DENY o SAMEORIGIN, se garantiza que su contenido no se incruste en otros sitios o que solo se incruste en sitios con el mismo origen, respectivamente. ‍

Const { Router } = require(‘@layer0/core/router’) new Router() .get(«/:route», ({ setResponseHeader }) => { setResponseHeader(«X-Frame-Options», «SAMEORIGIN») })

X-Frame-Options le da la capacidad de:

1. Evite los ataques de Clickjacking
2. Indique si se debe permitir o no a un navegador representar una página en A. <marco>, <iframe>, <inserción> o <objeto>

Política de recursos de origen cruzado (CORP)

CORP permite a los servidores protegerse contra ciertas incrustaciones entre orígenes o sitios cruzados del recurso solicitado (por ejemplo, respuestas API). También evita ataques especulativos de canal lateral como Spectre.

Const { Router } = require(‘@layer0/core/router’) new Router() .get(«/:route», ({ setResponseHeader }) => { setResponseHeader(«Cross-Origin-Resource-Policy», «Mismo-Origen») })

Cross-Origin Resource Policy es un encabezado de respuesta opt-in que puede proteger cualquier recurso; no hay necesidad de que los navegadores rastreen tipos MIME. — MDN Docs

Política de Embedder de Origen Cruzado (COEP)

El encabezado COEP evita la carga de recursos de origen cruzado para los que no se ha concedido permiso (a través de CORS o CORP). Utilice ‘Requier-corp’ para hacer cumplir el encabezado, mientras que ‘Unsafe-none’ para permitir la obtención de documentos de origen cruzado.

Const { Router } = require(‘@layer0/core/router’) new Router() .get(«/:route», ({ setResponseHeader }) => { setResponseHeader(«Cross-Origin-Embedder-Policy», «Request-corp») })

Política de apertura de origen cruzado (COOP)

La aplicación del encabezado COOP garantiza que el grupo contextual de navegación de un documento de nivel superior no se comparta entre documentos de origen cruzado. Mientras que ‘Same-Origen’ rompe las integraciones que requieren interacciones de ventanas de origen cruzado como OAuth y pago, ‘Same-Origen-Allow-Popups’ tiene como objetivo compartir el contexto solo con los popups de SAMEORIGIN.

Const { Router } = require(‘@layer0/core/router’) new Router() .get(«/:route», ({ setResponseHeader }) => { setResponseHeader(«Cross-Origin-Opener-Policy», «Same-Origin-allow-popups») })

Política de referencia

Cuando un usuario navega (haciendo clic en un enlace) de un sitio (el origen) a otro (el destino), este último recibe información sobre el origen del que proviene el usuario. El encabezado de Política de referencia controla cuánta de esta información estará disponible para el destino. Para todas las directivas de la Política del remitente, consulte Política del remitente — HTTP | MDN (mozilla.org).

Const { Router } = require(«@layer0/core/router») module.exports= new Router() .get(«/», ({ setResponseHeader }) => { setResponseHeader(«Referrer-Policy», «origin-cuando-cross-origin») })

Política de permisos

Un encabezado HTTP experimental que proporciona la capacidad de permitir / denegar características del navegador en sus propios marcos, y en cualquier iframe del documento. Para todas las directivas de Política de referencia, consulte Política de características — HTTP | MDN (mozilla.org)

Const { Router } = require(«@layer0/core/router») module.exports= new Router() .get(«/», ({ setResponseHeader }) => { setResponseHeader( «Política de permisos», «camera=(), micrófono=(), geolocalización=()» ); })

HTTP Seguridad de transporte estricta (HSTS)