Tutorial: Agregar encabezados de seguridad con el motor de reglas
En este tutorial se indica cómo implementar encabezados de seguridad para evitar vulnerabilidades basadas en el explorador como HTTP Strict-Transport-Security (HSTS), X-XSS-Protection, Content-Security-Policy o X-Frame-Options. Los atributos basados en seguridad también se pueden definir con cookies.
En el ejemplo siguiente se muestra cómo agregar un encabezado Content-Security-Policy a todas las solicitudes entrantes que coinciden con la ruta de acceso definida en la ruta a la que está asociada la configuración del motor de reglas. En este caso, solo se permiten la ejecución de scripts de nuestro sitio de confianza, https://apiphany.portal.azure-api.net , en nuestra aplicación.
En este tutorial, aprenderá a:
- Configurar una directiva de seguridad de contenido en el motor de reglas.
Prerrequisitos
- Para poder completar los pasos de este tutorial, primero debe crear una instancia de Front Door. Para más información, consulte Inicio rápido: Cree una instancia de Front Door.
- Si esta es la primera vez que usa la característica del motor de reglas, consulte Configuración de un motor de reglas.
Adición de un encabezado Content-Security-Policy en Azure Portal
Haga clic en Agregar para agregar una regla nueva. Proporcione un nombre para la regla y haga clic en Agregar una acción > Encabezado de respuesta.
Establezca Operador en Anexar para agregar este encabezado como respuesta a todas las solicitudes entrantes para esta ruta.
Agregue el nombre del encabezado: Content-Security-Policy y defina los valores que debe aceptar este encabezado. En este escenario, hemos elegido "script-src 'self' https://apiphany.portal.azure-api.net".
Nota
Los valores del encabezado están limitados a 640 caracteres.
Una vez que haya agregado todas las reglas deseadas a su configuración, no olvide ir a su ruta preferida y asociar la configuración del motor de reglas a la regla de ruta. Este paso es necesario para habilitar la regla para que funcione.
Nota
En este escenario, no hemos agregado condiciones de coincidencia a la regla. Esta regla se aplicará a todas las solicitudes entrantes que coincidan con la ruta de acceso definida en la regla de ruta. Si desea que solo se aplique a un subconjunto de esas solicitudes, asegúrese de agregar las condiciones de coincidencia específicas a esta regla.
Limpieza de recursos
En los pasos anteriores, configuró encabezados de seguridad con el motor de reglas. Si ya no desea la regla, puede quitarla haciendo clic en Eliminar regla.
Pasos siguientes
Para más información sobre cómo configurar un firewall de aplicaciones web para Front Door, continúe con el siguiente tutorial.