Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy
abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).
No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.
Um exemplo de uso (citado no primeiro link acima) é:
Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com
No Google Developers informa que com Featured Police
é possível realizar várias ações:
- Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
- Restringir um site de usar APIs confidenciais como câmera ou microfone.
- Permitir que
iframes
usem a fullscreenAPI. - Bloqueie o uso de APIs desatualizadas, como XHR e síncrono
document.write()
; - Assegurar que as imagens estejam dimensionadas
corretamente (por exemplo, evite a trituração de layout) e não sejam
muito grandes para a
viewport
(por exemplo, desperdício de largura de banda do usuário).
(* traduzido com a ajuda do Google tradutor)
Então fiquei na dúvida de como declarar a Feature Policy Header
no .htaccess
, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...
Por enquanto, com as modificações que já garantiram um 'A' no Security Headersrealizadas até agora para os outros :)headers
, a parte referente do .htaccess está assim:
<IfModule mod_headers.c>
Header always set X-Xss-Protection "1; mode=block"
Header always append X-Frame-Options SAMEORIGIN
Header set X-Content-Type-Options nosniff
Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>
Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess
?
Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?