Add-on-Sicherheit

Auf dieser Seite werden die Sicherheitsanforderungen beschrieben, die Add-ons von Drittanbietern erfüllen müssen.

Einschränkungen für Ursprünge

Ein Ursprung ist eine URL mit einem Schema (Protokoll), einem Host (Domain) und einem Port. Zwei URLs haben denselben Ursprung, wenn sie dasselbe Schema, denselben Host und denselben Port verwenden. Unterursprünge sind zulässig. Weitere Informationen finden Sie unter RFC 6454.

Diese Ressourcen haben denselben Ursprung, da sie dieselben Schema-, Host- und Portkomponenten haben:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

Bei der Arbeit mit Ursprüngen gelten die folgenden Einschränkungen:

1. Alle Ursprünge, die im Betrieb von Ihrem Add-on verwendet werden, müssen https als Protokoll verwenden.

2. Das Feld addOnOrigins im Add-on Manifest muss mit den Ursprüngen gefüllt sein, die von Ihrem Add-on verwendet werden.

   Die Einträge im Feld addOnOrigins müssen eine Liste von mit CSP-Host quellen kompatiblen Werten sein. Beispiel: https://*.addon.example.com oder https://main-stage-addon.example.com:443. Ressourcen pfade sind nicht zulässig.

   Diese Liste wird für Folgendes verwendet:

   • Legen Sie den frame-src Wert der iFrames fest, die Ihre Anwendung enthalten.

   • Validieren Sie die URLs, die von Ihrem Add-on verwendet werden. Der in den folgenden Gebietsschemas verwendete Ursprung muss Teil der Ursprünge sein, die im Feld addOnOrigins im Manifest aufgeführt sind:

     • Das Feld sidePanelUri im Add-on-Manifest. Weitere Informationen finden Sie unter Meet-Add-on bereitstellen.

     • Die sidePanelUrl und mainStageUrl Properties in the AddonScreenshareInfo object. Weitere Informationen finden Sie unter Add-on über die Bildschirmfreigabe für Nutzer bewerben.

     • Die sidePanelUrl und mainStageUrl Properties in der ActivityStartingState. Weitere Informationen zum Startzustand von Aktivitäten finden Sie unter Mit einem Meet-Add-on zusammenarbeiten.

   • Validieren Sie den Ursprung der Website, die die exposeToMeetWhenScreensharing() Methode aufruft.

3. Wenn Ihre Anwendung die URL-Navigation im iFrame verwendet, müssen alle Ursprünge, zu denen navigiert wird, im Feld addOnOrigins aufgeführt sein. Platzhalter-Subdomains sind zulässig. Beispiel: https://*.example.com. Wir raten jedoch dringend davon ab, Platzhalter-Subdomains mit einer Domain zu verwenden, die Ihnen nicht gehört, z. B. web.app, die Firebase gehört.