Sicurezza aggiuntiva

Anteprima per gli sviluppatori: disponibile nell'ambito del Programma Anteprima per gli sviluppatori di Google Workspace, che garantisce l'accesso in anteprima a determinate funzionalità.

In questa pagina sono specificati i requisiti di sicurezza che i componenti aggiuntivi di terze parti devono soddisfare.

Limitazioni relative all'origine

Un'origine è un URL con uno schema (protocollo), un host (dominio) e una porta. Due URL hanno la stessa origine quando condividono lo stesso schema, host e porta. Le origini secondarie sono consentite. Per ulteriori informazioni, consulta RFC 6454.

Queste risorse condividono la stessa origine in quanto hanno gli stessi componenti di schema, host e porta:

• https://example.com
• https://example.com:80
• https://*.example.com

Quando si lavora con le origini vengono applicati i seguenti vincoli:

1. Tutte le origini utilizzate nel funzionamento del componente aggiuntivo devono utilizzare https come protocollo.

2. Il campo addOnOrigins nel manifest del componente aggiuntivo deve essere compilato con le origini utilizzate dal componente aggiuntivo.

   Le voci nel campo addOnOrigins devono essere un elenco di valori compatibili con l'origine host CSP. Ad esempio https://*.addon.example.com o https://main-stage-addon.example.com:443.

   Questo elenco viene utilizzato per:

   • Imposta il valore frame-src degli iframe contenenti la tua applicazione.

   • Convalida gli URL utilizzati dal componente aggiuntivo. L'origine utilizzata nelle seguenti impostazioni internazionali deve far parte delle origini elencate nel campo addOnOrigins del manifest:

     • Il campo sidePanelUri nel file manifest del componente aggiuntivo. Per maggiori informazioni, consulta Creare un componente aggiuntivo di Meet.

     • sidePanelUrl e mainStageUrl nell'oggetto AddonScreenshareInfo. Per maggiori informazioni, vedi Promuovere un componente aggiuntivo per gli utenti tramite la condivisione schermo.

     • sidePanelUrl e mainStageUrl nella CollaborationStartingState. Per ulteriori informazioni, consulta l'articolo Utilizzare lo stato iniziale della collaborazione.

   • Convalida l'origine del sito che chiama il metodo MeetAddonScreenshare.exposeToMeetWhenScreensharing.

3. Se l'applicazione utilizza la navigazione negli URL all'interno dell'iframe, tutte le origini in cui viene eseguito l'accesso devono essere elencate nel campo addOnOrigins.