বিষয়বস্তু নিরাপত্তা নীতি নির্দেশিকা

এই ডকুমেন্টটি Maps JavaScript API-এর জন্য ওয়েবসাইট কন্টেন্ট সিকিউরিটি পলিসি (CSP) কীভাবে কনফিগার করবেন তার জন্য সুপারিশ প্রদান করে। যেহেতু বিভিন্ন ধরণের ব্রাউজার এবং সংস্করণ শেষ ব্যবহারকারীরা ব্যবহার করেন, তাই ডেভেলপারদের এই উদাহরণটিকে রেফারেন্স হিসেবে ব্যবহার করতে উৎসাহিত করা হচ্ছে, যতক্ষণ না আর কোনও CSP লঙ্ঘন না ঘটে ততক্ষণ পর্যন্ত এটিকে সূক্ষ্মভাবে সুরক্ষিত রাখতে হবে।

কন্টেন্ট নিরাপত্তা নীতি সম্পর্কে আরও জানুন ।

কঠোর সিএসপি

নিরাপত্তা আক্রমণের সম্ভাবনা কমাতে আমরা অ্যালোলিস্ট CSP-এর পরিবর্তে কঠোর CSP ব্যবহার করার পরামর্শ দিচ্ছি। Maps JavaScript API নন-ভিত্তিক কঠোর CSP ব্যবহার সমর্থন করে। ওয়েবসাইটগুলিকে অবশ্যই script এবং style উভয় উপাদানকেই একটি নন-মান দিয়ে পূর্ণ করতে হবে। অভ্যন্তরীণভাবে, Maps JavaScript API প্রথম এই ধরনের উপাদানটি খুঁজে বের করবে এবং যথাক্রমে API স্ক্রিপ্ট দ্বারা ঢোকানো স্টাইল বা স্ক্রিপ্ট উপাদানগুলিতে তার নন-মান প্রয়োগ করবে।

উদাহরণ

নিচের উদাহরণে একটি নমুনা CSP দেখানো হয়েছে, সাথে একটি HTML পৃষ্ঠা যেখানে এটি এমবেড করা আছে:

নমুনা কন্টেন্ট নিরাপত্তা নীতি 

script-src 'nonce-{script value}' 'strict-dynamic' https: 'unsafe-eval' blob:;
img-src 'self' https://*.googleapis.com https://*.gstatic.com *.google.com *.googleusercontent.com data:;
frame-src *.google.com;
connect-src 'self' https://*.googleapis.com *.google.com https://*.gstatic.com data: blob:;
font-src https://fonts.gstatic.com;
style-src 'nonce-{style value}' https://fonts.googleapis.com;
worker-src blob:;

নমুনা HTML পৃষ্ঠা 

<!DOCTYPE html>
<html>
  <head>
    <link rel="stylesheet" href="style.css" nonce="{style value}">
    <style nonce="{style value}">...</style>
    ...
  </head>
  <body>
    <div id="map"></div>
    <script src="https://maps.googleapis.com/maps/api/js?key=&callback=initMap" async nonce="{script value}"></script>
    <script nonce="{script value}"> function initMap() { ... } </script>
  </body>
</html>

অ্যালাউলিস্ট সিএসপি

যদি আপনি অ্যালাউলিস্ট সিএসপি সেট আপ করে থাকেন, তাহলে অনুগ্রহ করে গুগল ম্যাপস ডোমেনের তালিকাটি দেখুন। আমরা আপনাকে এই ডকুমেন্ট এবং ম্যাপস জাভাস্ক্রিপ্ট এপিআই রিলিজ নোটগুলি আপডেট রাখার পরামর্শ দিচ্ছি, এবং প্রয়োজনে যেকোনও নতুন পরিষেবা ডোমেন অ্যালাউলিস্টে অন্তর্ভুক্ত করার পরামর্শ দিচ্ছি।

যেসব ওয়েবসাইট লিগ্যাসি গুগল এপিআই ডোমেন (উদাহরণস্বরূপ maps.google.com ) অথবা অঞ্চল-নির্দিষ্ট ডোমেন (উদাহরণস্বরূপ maps.google.fr ) থেকে ম্যাপস জাভাস্ক্রিপ্ট এপিআই লোড করে, তাদের অবশ্যই তাদের CSP script-src সেটিংসে এই ডোমেন নামগুলি অন্তর্ভুক্ত করতে হবে, যেমনটি নিম্নলিখিত উদাহরণে দেখানো হয়েছে:

script-src 'self' 'unsafe-inline' 'unsafe-eval' https://*.googleapis.com https://*.gstatic.com *.google.com https://*.ggpht.com *.googleusercontent.com blob:;
img-src 'self' https://*.googleapis.com https://*.gstatic.com *.google.com  *.googleusercontent.com data:;
frame-src *.google.com;
connect-src 'self' https://*.googleapis.com *.google.com https://*.gstatic.com  data: blob:;
font-src https://fonts.gstatic.com;
style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;
worker-src blob:;