Segurança de complementos

Prévia para desenvolvedores:disponível como parte do Programa de prévia para desenvolvedores do Google Workspace, que concede acesso antecipado a determinados recursos.

Nesta página, detalhamos os requisitos de segurança que os complementos de terceiros precisam atender.

Restrições de origem

Uma origem é um URL com um esquema (protocolo), um host (domínio) e uma porta. Dois URLs têm a mesma origem quando compartilham o mesmo esquema, host e porta. Suborigens são permitidas. Para mais informações, consulte a RFC 6454 (link em inglês).

Esses recursos compartilham a mesma origem, já que têm os mesmos componentes de esquema, host e porta:

• https://example.com
• https://example.com:80
• https://*.example.com

As seguintes restrições são aplicadas ao trabalhar com origens:

1. Todas as origens utilizadas na operação do seu complemento precisam utilizar https como protocolo.

2. O campo addOnOrigins no manifesto do complemento precisa ser preenchido com as origens que seu complemento está usando.

   As entradas no campo addOnOrigins precisam ser uma lista de valores compatíveis com a origem do host CSP. Por exemplo, https://*.addon.example.com ou https://main-stage-addon.example.com:443.

   Essa lista é usada para:

   • Defina o valor frame-src dos iframes que contêm seu aplicativo.

   • Valide os URLs que o complemento está usando. A origem usada nas localidades abaixo precisa fazer parte das listadas no campo addOnOrigins no manifesto:

     • O campo sidePanelUri no manifesto do complemento. Para mais informações, consulte Criar um complemento do Meet.

     • O sidePanelUrl e mainStageUrl no objeto AddonScreenshareInfo. Para mais informações, consulte Promover um complemento para os usuários com o compartilhamento de tela.

     • O sidePanelUrl e o mainStageUrl no CollaborationStartingState. Saiba mais em Usar o estado inicial de colaboração.

   • Valide a origem do site que está chamando o método MeetAddonScreenshare.exposeToMeetWhenScreensharing.

3. Caso seu aplicativo use a navegação por URL dentro do iframe, todas as origens de destino precisam ser listadas no campo addOnOrigins.