Segurança de complementos

Esta página detalha os requisitos de segurança que os complementos de terceiros precisam atender.

Restrições de origem

Uma origem é um URL com um esquema (protocolo), host (domínio) e porta. Dois URLs têm a mesma origem quando compartilham o mesmo esquema, host e porta. Suborigens são permitidas. Para mais informações, consulte a RFC 6454.

Esses recursos compartilham a mesma origem porque têm os mesmos componentes de esquema, host e porta:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

As seguintes restrições são aplicadas ao trabalhar com origens:

1. Todas as origens usadas na operação do complemento precisam usar https como protocolo.

2. O campo addOnOrigins no manifesto do complemento precisa ser preenchido com as origens que o complemento está usando.

   As entradas no campo addOnOrigins precisam ser uma lista de valores compatíveis com a origem do host CSP. Por exemplo, https://*.addon.example.com ou https://main-stage-addon.example.com:443. Caminhos de recursos não são permitidos.

   Essa lista é usada para:

   • Definir o frame-src valor dos iframes que contêm seu aplicativo.

   • Validar os URLs que o complemento está usando. A origem usada nos locais a seguir precisa fazer parte das origens listadas no campo addOnOrigins no manifesto:

     • O campo sidePanelUri no manifesto do complemento. Para mais informações, consulte Implantar um complemento do Meet.

     • As propriedades sidePanelUrl e mainStageUrl no AddonScreenshareInfo objeto. Para mais informações, consulte Promover um complemento para usuários por compartilhamento de tela.

     • As propriedades sidePanelUrl e mainStageUrl no ActivityStartingState. Para mais informações sobre o estado inicial da atividade, consulte Colaborar usando um complemento do Meet.

   • Validar a origem do site que está chamando o exposeToMeetWhenScreensharing() método.

3. Se o aplicativo usar a navegação por URL dentro do iframe, todas as origens para as quais a navegação está sendo feita precisam ser listadas no campo addOnOrigins. Observação: os subdomínios curinga são permitidos. Por exemplo, https://*.example.com. No entanto, recomendamos não usar subdomínios curinga com um domínio que não seja seu, como web.app, que pertence ao Firebase.