Keamanan add-on

Halaman ini menjelaskan add-on pihak ketiga dalam persyaratan keamanan harus dipenuhi.

Pembatasan asal

Origin adalah URL dengan skema (protokol), host (domain), dan port. Dua URL memiliki asal yang sama ketika mereka menggunakan skema, {i>host<i}, dan porta yang sama. Sub-asal diizinkan. Untuk informasi lebih lanjut, lihat RFC 6454.

Sumber daya ini memiliki asal yang sama karena memiliki skema, {i>host<i}, dan komponen port:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

Batasan berikut diterapkan saat menangani origin:

1. Semua origin yang digunakan dalam operasi add-on Anda harus menggunakan https sebagai protokol.

2. Kolom addOnOrigins di add-on manifes harus diisi dengan origin tempat add-on Anda gunakan.

   Entri di kolom addOnOrigins harus berupa daftar host CSP sumber yang kompatibel. Misalnya, https://*.addon.example.com atau https://main-stage-addon.example.com:443. Referensi jalur tidak diizinkan.

   Daftar ini digunakan untuk:

   • Setel frame-src iframe yang berisi aplikasi Anda.

   • Validasi URL yang digunakan add-on Anda. Asal yang digunakan dalam lokalitas berikut harus merupakan bagian dari origin yang tercantum di kolom addOnOrigins dalam manifes:

     • Kolom sidePanelUri di add-on manifes. Untuk informasi selengkapnya, lihat Buat Add-on Meet.

     • sidePanelUrl dan mainStageUrl di AddonScreenshareInfo . Untuk informasi selengkapnya, lihat Promosikan add-on kepada pengguna melalui berbagi layar.

     • sidePanelUrl dan mainStageUrl di CollaborationStartingState Untuk mengetahui informasi selengkapnya, lihat Menggunakan status awal kolaborasi.

   • Validasi asal situs yang memanggil MeetAddonScreenshare.exposeToMeetWhenScreensharing .

3. Jika aplikasi Anda menggunakan navigasi URL di dalam iframe, semua origin yang yang menjadi tujuan navigasi harus tercantum dalam kolom addOnOrigins. Perlu diketahui bahwa subdomain {i>wildcard<i} diizinkan. Misalnya, https://*.example.com. Namun, sebaiknya jangan gunakan karakter pengganti subdomain dengan domain yang bukan milik Anda, seperti web.app yang dimiliki oleh di Firebase.