Skip to main content
Aviso removido Recompensar resposta existente por gustavox
Fim da Recompensa com Inkeliz's answer escolhido por gustavox
removeu 242 caracteres do conteúdo
Fonte Link
gustavox
  • 4mil
  • 10
  • 51
  • 98

Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headersrealizadas até agora para os outros :)headers, a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações realizadas até agora para os outros headers, a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Aviso adicionado Recompensar resposta existente por gustavox
Recompensa Oferecida vale 50 pontos de reputação por gustavox
Tweeted twitter.com/StackOverflowPT/status/1149559167054520322
Ortografia
Fonte Link
Isac
  • 25,5mil
  • 3
  • 31
  • 51

Pelo que entendi, este cabeçalho de resposta controla o acesso aoaos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfnemicrofone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso ao conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfne.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

adicionou 1 caractere ao conteúdo
Fonte Link
gustavox
  • 4mil
  • 10
  • 51
  • 98

Pelo que entendi, este cabeçalho de resposta controla o acesso ao conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfne.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que á garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso ao conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfne.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que á garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

Pelo que entendi, este cabeçalho de resposta controla o acesso ao conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfne.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

adicionou 410 caracteres ao conteúdo
Fonte Link
gustavox
  • 4mil
  • 10
  • 51
  • 98
Carregando
Fonte Link
gustavox
  • 4mil
  • 10
  • 51
  • 98
Carregando