الأمان الإضافي

توضِّح هذه الصفحة بالتفصيل متطلبات الأمان التي يجب أن تستوفيها الإضافات التابعة لجهات خارجية.

القيود المفروضة على المصدر

المصدر هو عنوان URL يتضمّن مخطّطًا (بروتوكول) ومضيفًا (نطاق) ومنفذًا. يمتلك عنوانا URL المصدر نفسه عندما يتشاركان في نفس المخطط والمضيف والمنفذ. يُسمح باستخدام مصادر فرعية. لمزيد من المعلومات، يُرجى الاطّلاع على RFC 6454.

تتشارك هذه الموارد المصدر نفسه لأنّها تتضمّن مكوّنات المخطّط والمضيف والمنفذ نفسها:

  • https://www.example.com
  • https://www.example.com:443
  • https://www.example.com/sidePanel.html

يتم فرض القيود التالية عند العمل مع المصادر:

  1. يجب أن تستخدم جميع المصادر المستخدَمة في تشغيل الإضافة بروتوكول https.

  2. يجب تعبئة الحقل addOnOrigins في بيان الإضافة بالمصادر التي تستخدمها الإضافة.

    يجب أن تكون الإدخالات في الحقل addOnOrigins قائمة بالقيم المتوافقة مع مضيف CSP المصدر. على سبيل المثال، https://*.addon.example.com أو https://main-stage-addon.example.com:443. مسارات الموارد غير مسموح بها.

    يتم استخدام هذه القائمة لإجراء ما يلي:

  3. إذا كان تطبيقك يستخدم التنقّل في عناوين URL داخل إطار iframe، يجب إدراج جميع المصادر التي يتم الانتقال إليها في الحقل addOnOrigins. يُرجى العلم أنّه يُسمح باستخدام النطاقات الفرعية البادئة بعلامة النجمة. على سبيل المثال، https://*.example.com. في المقابل، ننصحك بعدم استخدام النطاقات الفرعية لأحرف البدل مع نطاق لا تملكه، مثل web.app الذي يملكه Firebase.