Seguridad complementaria

Versión preliminar para desarrolladores: Disponible como parte del Programa de versión preliminar para desarrolladores de Google Workspace, que otorga acceso anticipado a ciertas funciones.

En esta página, se detallan los requisitos de seguridad que deben cumplir los complementos de terceros.

Restricciones de origen

Un origen es una URL con un esquema (protocolo), un host (dominio) y un puerto. Dos URLs tienen el mismo origen cuando comparten el mismo esquema, el mismo host y el mismo puerto. Se permiten suborígenes. Para obtener más información, consulta RFC 6454.

Estos recursos comparten el mismo origen, ya que tienen los mismos componentes de esquema, host y puerto:

• https://example.com
• https://example.com:80
• https://*.example.com

Se aplican las siguientes restricciones cuando se trabaja con orígenes:

1. Todos los orígenes usados en la operación de tu complemento deben usar https como protocolo.

2. El campo addOnOrigins del manifiesto de complementos debe completarse con los orígenes que usa tu complemento.

   Las entradas del campo addOnOrigins deben ser una lista de valores compatibles de la fuente del host de la CSP. Por ejemplo, https://*.addon.example.com o https://main-stage-addon.example.com:443.

   Esta lista se utiliza para lo siguiente:

   • Establece el valor frame-src de los iframes que contienen tu aplicación.

   • Valida las URLs que usa tu complemento. El origen que se usa en las siguientes configuraciones regionales debe ser parte de los orígenes que figuran en el campo addOnOrigins del manifiesto:

     • El campo sidePanelUri en el manifiesto de complementos Para obtener más información, consulta Cómo compilar un complemento de Meet.

     • El sidePanelUrl y la mainStageUrl en el objeto AddonScreenshareInfo Si deseas obtener más información, consulta Promueve un complemento a los usuarios mediante el uso compartido de la pantalla.

     • El sidePanelUrl y la mainStageUrl en CollaborationStartingState Para obtener más información, consulta Cómo usar el estado de inicio de la colaboración.

   • Valida el origen del sitio que llama al método MeetAddonScreenshare.exposeToMeetWhenScreensharing.

3. Si tu aplicación usa la navegación de URL dentro del iframe, todos los orígenes por los que navegas deben aparecer en el campo addOnOrigins.