Seguridad complementaria

Versión preliminar para desarrolladores: Está disponible como parte del Programa de Versión preliminar para desarrolladores de Google Workspace, que otorga acceso anticipado a ciertas funciones.

En esta página, se detallan los requisitos de seguridad de los complementos de terceros que debes cumplir.

Restricciones de origen

El origen es una URL con un esquema (protocolo), un host (dominio) y un puerto. Dos URLs tienen el mismo origen cuando comparten el mismo esquema, host y puerto. Se permiten los suborígenes. Para obtener más información, consulta RFC 6,454

Estos recursos comparten el mismo origen, ya que tienen el mismo esquema, host y componentes del puerto:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

Las siguientes restricciones se aplican cuando se trabaja con orígenes:

1. Todos los orígenes usados en la operación de tu complemento debe usar https como protocolo.

2. El campo addOnOrigins en el complemento manifiesto debe ser completados con los orígenes de tu complemento usan.

   Las entradas del campo addOnOrigins deben ser una lista de host de CSP fuente valores compatibles. Por ejemplo, https://*.addon.example.com o https://main-stage-addon.example.com:443 Recurso rutas de acceso no están permitidos.

   Esta lista se usa para lo siguiente:

   • Establece el frame-src de los iframes que contienen tu aplicación.

   • Valida las URLs que usa tu complemento. El origen que se usa en las siguientes configuraciones regionales debe ser parte de los orígenes en el campo addOnOrigins del manifiesto:

     • El campo sidePanelUri en el complemento . Para obtener más información, consulta Crea un complemento de Meet.

     • Los objetos sidePanelUrl y mainStageUrl de la AddonScreenshareInfo . Para obtener más información, consulta Promociona un complemento entre los usuarios compartiendo pantalla.

     • Los objetos sidePanelUrl y mainStageUrl de la CollaborationStartingState Para obtener más información, consulta Cómo usar el estado de inicio de la colaboración.

   • Valida el origen del sitio que llama al MeetAddonScreenshare.exposeToMeetWhenScreensharing .

3. Si tu aplicación utiliza la navegación de URL dentro del iframe, todos los orígenes que deben aparecer en el campo addOnOrigins. Ten en cuenta que los subdominios de comodines. Por ejemplo, https://*.example.com Sin embargo, recomendamos no usar comodines subdominios con un dominio que no te pertenece, por ejemplo, web.app que es propiedad de Firebase