Utilizzo di EdgeJS di Layer0 per configurare le intestazioni di sicurezza personalizzate

Intestazione X-Frame-Options

L’intestazione X-Frame-Options indica se un browser deve essere autorizzato a eseguire il rendering di una pagina in tag fotogramma, iframe, incorporati o oggetto da evitare Attacchi di click-jacking. Se impostato su NEGA o SAMEORIGIN assicura che il loro contenuto non sia incorporato in altri siti o solo incorporato in siti con la stessa origine, rispettivamente. ‍

Const { router } = require(‘@layer0/core/router’) New router() .get(“/:Route”, ({ setResponseHeader }) => { setResponseHeader(“X-Frame-Options”, “SAMEORIGIN”) })

X-Frame-Options consente di:

1. Prevenire gli attacchi di clickjacking
2. Indicare se un browser deve essere autorizzato o meno a eseguire il rendering di una pagina in un <telaio>, <iframe>, <incorpora> oppure <oggetto>

Policy sulle risorse di origine incrociata (Corp)

CORP consente ai server di proteggersi da determinate incorporazioni tra origini o siti della risorsa richiesta (ad esempio, risposte API). Previene anche attacchi speculativi side-channel come Spectre.

Const { router } = require(‘@layer0/core/router’) New router() .get(“/:Route”, ({ setResponseHeader }) => { setResponseHeader(“Cross-origin-Resource-Policy”, “same-origin”) })

Cross-Origin Resource Policy è un’intestazione di risposta opt-in che può proteggere qualsiasi risorsa; non è necessario che i browser individuino i tipi MIME. – Documenti MDN

COEP (Cross-Origin Embedder Policy)

L’intestazione COEP impedisce il caricamento delle risorse di origine incrociata per le quali non è stata concessa l’autorizzazione (tramite cors o corr ). Utilizzare «require-corp» per applicare l’intestazione, mentre «unsafe-none» per consentire il recupero di documenti di origine incrociata.

Const { router } = require(‘@layer0/core/router’) New router() .get(“/:Route”, ({ setResponseHeader }) => { setResponseHeader(“Cross-Origin-Embedder-Policy”, “require-corp”) })

Criterio di apertura Cross-Origin (COOP)

L’applicazione dell’intestazione COOP assicura che il gruppo di contesto di navigazione di un documento di livello superiore non sia condiviso tra documenti di origine incrociata. Mentre «stessa origine» rompe le integrazioni che richiedono interazioni tra finestre di origine diverse, come OAuth e pagamento, i popup «stessa origine» mirano a condividere il contesto solo con i popup del SAMEORIGIN.

Const { router } = require(‘@layer0/core/router’) New router() .get(“/:Route”, ({ setResponseHeader }) => { setResponseHeader(“Cross-origin-Opener-Policy”, “same-origin-allow-popup”) })

Politica di riferimento

Quando un utente naviga (facendo clic su un collegamento) da un sito (l’origine) a un altro (la destinazione), quest’ultimo riceve informazioni sull’origine da cui proviene l’utente. L’intestazione «Referrer-Policy» controlla la quantità di tali informazioni che devono essere disponibili per la destinazione. Per tutte le direttive di Referrer-Policy, fare riferimento a Referrer-Policy — HTTP | MDN (mozilla.org).

Const { router } = require(“@layer0/core/router”) module.exports= New router() .get(“/”, ({ setResponseHeader }) => { setResponseHeader(“Referrer-Policy”, “origin-when-cross-origin”) })

Criteri di autorizzazione

Intestazione HTTP sperimentale che consente di consentire/negare le funzioni del browser nei propri frame e in qualsiasi iframe del documento. Per tutte le direttive di Referrer-Policy, fare riferimento a Feature-Policy — HTTP | MDN (mozilla.org)

Const { router } = require(“@layer0/core/router”) module.exports= New router() .get(“/”, ({ setResponseHeader }) => { setResponseHeader( “Permissions-Policy”, “camera=(), microfono=(), geolocation=()” ); })

HSTS (HTTP Strict Transport Security)