Eklenti güvenliği

Bu sayfada, üçüncü taraf eklentilerinin karşılaması gereken güvenlik şartları ayrıntılı olarak açıklanmaktadır.

Kaynak kısıtlamaları

Kaynak, şeması (protokol), ana makinesi (alan adı) ve bağlantı noktası olan bir URL'dir. Aynı şemayı, ana makineyi ve bağlantı noktasını paylaşan iki URL'nin kaynağı aynıdır. Alt kaynaklara izin verilir. Daha fazla bilgi edinmek için RFC 6454'e bakın.

Aşağıdaki kaynaklar aynı şema, ana makine ve bağlantı noktası bileşenlerine sahip oldukları için aynı kaynağı paylaşır:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

Kaynaklarla çalışırken aşağıdaki kısıtlamalar uygulanır:

1. Eklentinizin çalışmasında kullanılan tüm kaynaklar, protokol olarak https kullanmalıdır.

2. Eklenti manifestindeki addOnOrigins alanı, eklentinizin kullandığı kaynaklarla doldurulmalıdır.

   addOnOrigins alanındaki girişler, CSP ana makine kaynağı ile uyumlu değerlerin bir listesi olmalıdır. Örneğin, https://*.addon.example.com veya https://main-stage-addon.example.com:443. Kaynak yollarına izin verilmez.

   Bu liste şu amaçlarla kullanılır:

   • Uygulamanızı içeren iframe'lerin frame-src değerini ayarlayın.

   • Eklentinizin kullandığı URL'leri doğrulayın. Aşağıdaki yerel ayarlarda kullanılan kaynak, manifest'teki addOnOrigins alanında listelenen kaynaklardan biri olmalıdır:

     • Eklenti manifest dosyasında sidePanelUri alanı. Daha fazla bilgi için Meet eklentisi dağıtma başlıklı makaleyi inceleyin.

     • AddonScreenshareInfo nesnesindeki sidePanelUrl ve mainStageUrl özellikleri. Daha fazla bilgi için Ekran paylaşımı aracılığıyla kullanıcılara eklenti tanıtma başlıklı makaleyi inceleyin.

     • ActivityStartingState öğesindeki sidePanelUrl ve mainStageUrl özellikleri. Etkinlik başlatma durumu hakkında daha fazla bilgi için Meet eklentisi kullanarak ortak çalışma başlıklı makaleyi inceleyin.

   • exposeToMeetWhenScreensharing() yöntemini çağıran sitenin kaynağını doğrulayın.

3. Uygulamanız iFrame içinde URL gezinme kullanıyorsa gidilmekte olan tüm kaynaklar addOnOrigins alanında listelenmelidir. Karanlık yıldız içeren alt alan adlarına izin verildiğini unutmayın. Örneğin, https://*.example.com. Ancak, size ait olmayan bir alanla (ör. Firebase'e ait web.app) joker karakterli alt alan adları kullanmamanızı önemle tavsiye ederiz.