5

Pelo que entendi, este cabeçalho de resposta controla o acesso aos conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o Referrer Policy abordado nesta pergunta, aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No Security Headers por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No Google Developers informa que com Featured Police é possível realizar várias ações:

  • Alterar o comportamento padrão de autoplay em vídeos para dispositivos móveis e de terceiros;
  • Restringir um site de usar APIs confidenciais como câmera ou microfone.
  • Permitir que iframes usem a fullscreenAPI.
  • Bloqueie o uso de APIs desatualizadas, como XHR e síncrono document.write();
  • Assegurar que as imagens estejam dimensionadas corretamente (por exemplo, evite a trituração de layout) e não sejam muito grandes para a viewport (por exemplo, desperdício de largura de banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a Feature Policy Header no .htaccess, uma vez que utilizo recursos de sites externos, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações realizadas até agora para os outros headers, a parte referente do .htaccess está assim:

<IfModule mod_headers.c>
    Header always set X-Xss-Protection "1; mode=block"
    Header always append X-Frame-Options SAMEORIGIN
    Header set X-Content-Type-Options nosniff
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no .htaccess?

4
  • pesquise aqui neste site "Como funciona o header “Referrer Policy”? mostrará o significado de cada tratativa, aplique uma que corresponda as necessidades do seu site. Commented 11/07/2019 às 18:30
  • O Feature-Policy me parece esta ligada a funcionalidades do site como: Accelerometer, Camera, Microphone, PaymentRequest, ... - Me parece que você esta procurando algo como controle de conteúdo Content-Security-Policy, seria isso ? -- Se sim, talvez valha a pena reformular a pergunta =D Commented 11/07/2019 às 21:27
  • 1
    Então @Icaro Martins, eu me referi aos recursos que uso no site apenas como complementação. O content-security-police é ainda outra coisa sobre a qual já estou pensando em outra pergunta rsrs. No caso aqui, como não utilizou estas funcionalidades (microfobe etc) quero desabilitar todas usando o feature-police, mas sem com isso quebrar a aplicação...
    – gustavox
    Commented 11/07/2019 às 22:04
  • Mas olhando melhor acho que a parte final da pergunta eu me confundi e enredei para aspectos do content-secuity mesmo... depois vou editar. Valeu
    – gustavox
    Commented 11/07/2019 às 22:07

1 Resposta 1

4
+50

O Feature-Policy (não confundir com o Referrer-Policy e nem com o Content-Security-Policy), tem o intuito desligar recursos do navegador, que tipicamente são habilitados por padrão.

Ele funciona como:

Feature-Policy: <recurso> <origem>

O <recurso> pode ser:

- accelerometer
- ambient-light-sensor
- autoplay
- camera 
- encrypted-media
- fullscreen
- geolocation
- gyroscope
- magnetometer
- microphone
- midi
- payment
- picture-in-picture
- speaker 
- usb
- vr

Alguns navegadores expõe mais ou menos opções, esteja atendo a isso.

O <origem> é para definir quem está autorizado à realizar a ação, salvo engano ele pode ser definido como:

  • *: Permitirá o em todo o website, incluindo iframes e conteúdos de terceiros.

  • https://example.com: Permitirá o para os websites informados explicitamente.

  • 'self': Permitirá o na página que tenha a mesma origem do site que está sendo navegado, portanto terceiros não podem usar tal .

  • 'none': Desabilitará o recurso.


Portanto, definir como:

Feature-Policy: payment 'self'; usermedia *; sync-xhr 'none'; câmera https://example.com

Permitirá o uso do payment para o host atual, o usermedia para qualquer um, e o sync-xhr para ninguém, e o camera apenas para o example.com.

Lembre-se que os hosts também devem ser autorizado pelo Content-Security-Policy. Também é possível definir no iframe, com o atributo allow="<recurso>".


O Feature-Policy não tem o intuito de bloquear conexões, apenas o uso de funcionalidades.

CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome,

Se nenhuma dessas ferramentas fazem uso de "camera ou microfone", você pode especificar claramente um camera 'none'; microphone 'none';, e outros, pode especificar tudo como:

Header always set feature-policy "accelerometer 'none'; ambient-light-sensor 'none'; autoplay 'self'; camera 'none'; encrypted-media 'none'; fullscreen 'none'; geolocation 'none'; gyroscope 'none'; magnetometer 'none'; microphone 'none'; midi 'none'; picture-in-picture 'none'; speaker 'none'; usb 'none'; vr 'none';"

Isso irá desligar todos os recursos disponíveis. Se nenhum script (interno ou externo) usa os recursos desligados não haverá nenhum efeito colateral.


Pessoalmente eu utilizo o código acima, desligando tudo e faço uso do Google TagManager e Google Fonts. Na minha opinião eu espero que o Feature-Policy, supondo que não morra como o P3P, seja integrado ao Permissions API, seria um bom avanço.

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .