Same-origin-policy (SOP)
Same-origin-policyn begränsar webbläsaråtkomst mellan olika origins. En annan sidväg skapar inte i sig en ny origin.
Same-origin-policyn, förkortat SOP, är en säkerhetsregel i webbläsaren. Den begränsar hur ett dokument eller skript får samverka med resurser från en annan origin. För vanliga webbadresser bestäms origin av protokoll, värdnamn och port. På så sätt avgränsas innehåll från olika webbplatser.
Skilj på byte av sökväg och origin
En fiktiv portal använder https://portal.example/overview och https://portal.example/settings. Adresserna har samma origin: Bara sökvägen skiljer sig. API:et på https://api.example/projects har däremot ett annat värdnamn och därmed en annan origin. Inga tjänster har anropats på dessa exempeladresser.
En gemensam origin betyder inte att varje inloggad person får använda alla projekt eller inställningar. Det måste applikationen fortsätta kontrollera själv.
En förfrågan innebär inte alltid läsåtkomst
SOP blockerar inte varje förfrågan till en annan origin. Beroende på typen kan en förfrågan skickas medan skriptet inte får läsa svaret. MDN skiljer därför bland annat på att skicka, bädda in och läsa.
Med CORS kan målservern ange vilka andra origins som får komma åt svar i webbläsaren. Tillståndet ersätter varken autentisering eller behörighetskontroller på servern. Webbläsarisolering och åtkomst till verksamhetsdata förblir olika uppgifter.
Källor
Relaterade begrepp
- APIEtt API anger hur programvara kan använda funktioner eller data som annan programvara erbjuder.
- FrontendFrontend är gränssnittet som människor använder. Användbar återkoppling i webbläsaren ersätter inte avgörande kontroller på servern.
- Cross-site request forgery (CSRF)CSRF utnyttjar en inloggad session för en oönskad förfrågan. Sessionscookien ensam bevisar inte att personen avsåg handlingen.
- DataminimeringDataminimering begränsar personuppgifter till vad som är lämpligt, relevant och nödvändigt för ett bestämt ändamål.
- Policy för datalagringEn policy för datalagring anger syfte, start, varaktighet och slut för lagringen. Raderingsjobb och kopior måste ingå i den tekniska lösningen.
- Envelope-krypteringEnvelope-kryptering skiljer datanyckeln från den nyckel som skyddar den. Den krypterade filen och inpackade datanyckeln behöver hanteras tillsammans.
Ditt projekt med ASES
Beskriv ditt projekt för oss. Vi hör av oss med en första bedömning.