Same-origin-politik (SOP)
Same-origin-politikken begrænser browseradgang mellem forskellige origins. En anden sidesti skaber ikke i sig selv en ny origin.
Same-origin-politikken, forkortet SOP, er en sikkerhedsregel i browseren. Den begrænser, hvordan et dokument eller script må interagere med ressourcer fra en anden origin. Ved almindelige webadresser bestemmes origin af protokol, værtsnavn og port. På den måde adskilles indhold fra forskellige websteder.
Skeln mellem ændring af sti og origin
En fiktiv portal bruger https://portal.example/overview og https://portal.example/settings. Begge adresser har samme origin: Kun stien er forskellig. API’et på https://api.example/projects har et andet værtsnavn og dermed en anden origin. Der er ikke sendt anmodninger til disse eksempeladresser.
Fælles origin betyder ikke, at enhver indlogget person må bruge alle projekter eller indstillinger. Det skal applikationen fortsat kontrollere selv.
En anmodning giver ikke altid læseadgang
SOP blokerer ikke enhver anmodning til en anden origin. Afhængigt af typen kan en anmodning sendes, mens scriptet ikke må læse svaret. MDN skelner derfor blandt andet mellem afsendelse, indlejring og læsning.
Med CORS kan målserveren fastlægge, hvilke andre origins der må læse svar i browseren. Den tilladelse erstatter hverken autentifikation eller rettighedskontrol på serveren. Browserisolering og adgang til forretningsdata er fortsat forskellige opgaver.
Kilder
Relaterede begreber
- APIEn API fastlægger, hvordan software kan bruge funktioner eller data fra anden software.
- FrontendFrontend er den grænseflade, mennesker betjener. Nyttig feedback i browseren erstatter ikke afgørende kontroller på serveren.
- Cross-site request forgery (CSRF)CSRF udnytter en indlogget session til en uønsket anmodning. Sessionscookien alene beviser ikke, at personen ønskede handlingen.
- DataminimeringDataminimering begrænser personoplysninger til det, der er passende, relevant og nødvendigt for et fastlagt formål.
- Politik for dataopbevaringEn politik for dataopbevaring fastlægger formål, start, varighed og afslutning. Sletteopgaver og kopier skal indgå i den tekniske løsning.
- Envelope-krypteringEnvelope-kryptering adskiller datanøglen fra nøglen, der beskytter den. Den krypterede fil og indpakkede datanøgle skal håndteres sammen.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.