कॉन्टेंट की सुरक्षा के लिए बनी नीति की गाइड

इस दस्तावेज़ में, Maps JavaScript API के लिए वेबसाइट के कॉन्टेंट की सुरक्षा से जुड़ी नीति (सीएसपी) को कॉन्फ़िगर करने के तरीके के बारे में सुझाव दिए गए हैं. चूंकि असली उपयोगकर्ता अलग-अलग तरह के ब्राउज़र और उनके वर्शन इस्तेमाल करते हैं, इसलिए डेवलपर को सलाह दी जाती है कि वे इस उदाहरण को रेफ़रंस के तौर पर इस्तेमाल करें. साथ ही, इसमें तब तक बदलाव करें, जब तक सीएसपी से जुड़ी कोई और समस्या न हो.

कॉन्टेंट की सुरक्षा के लिए नीति के बारे में ज़्यादा जानें.

स्ट्रिक्ट सीएसपी

हमारा सुझाव है कि आप अपनी वेबसाइट को क्रॉस-साइट स्क्रिप्टिंग (XSS) के हमलों से बचाने के लिए, अनुमति वाली सूची वाली सीएसपी के बजाय स्ट्रिक्ट सीएसपी का इस्तेमाल करें. Maps JavaScript API, नॉन्स पर आधारित स्ट्रिक्ट सीएसपी के इस्तेमाल की सुविधा देता है. वेबसाइटों को script और style दोनों एलिमेंट में नॉन्स की वैल्यू डालनी होगी. Maps JavaScript API, इंटरनल तौर पर ऐसा पहला एलिमेंट ढूंढ लेगा. इसके बाद, एपीआई स्क्रिप्ट से जोड़े गए स्टाइल या स्क्रिप्ट एलिमेंट पर, नॉन्स की वैल्यू लागू कर देगा.

यहां दिए गए उदाहरण में, 'strict-dynamic' कीवर्ड की मदद से, ऐसा स्क्रिप्ट लोड किया जा सकता है जिसमें मान्य नॉन्स हो. आपका पेज, Maps JavaScript API को नॉन्स के साथ लोड करता है. इसलिए, एपीआई उन अतिरिक्त स्क्रिप्ट को लोड कर सकता है जिनकी उसे ज़रूरत होती है. इसलिए, आपको script-src में Google के किसी भी डोमेन को शामिल करने की ज़रूरत नहीं है. जो ब्राउज़र 'strict-dynamic' के साथ काम करते हैं वे उदाहरण में दिए गए https: सोर्स को अनदेखा कर देते हैं. यह सिर्फ़ पुराने ब्राउज़र के लिए फ़ॉलबैक है.

उदाहरण

यहां दिए गए उदाहरण में, सीएसपी का एक सैंपल दिखाया गया है. साथ ही, इसमें वह एचटीएमएल पेज भी दिखाया गया है जिसमें इसे एम्बेड किया गया है:

कॉन्टेंट की सुरक्षा के लिए नीति का सैंपल

script-src 'nonce-{script value}' 'strict-dynamic' https: 'unsafe-eval' blob:;
img-src 'self' https://*.googleapis.com https://*.gstatic.com *.google.com *.googleusercontent.com data:;
frame-src *.google.com;
connect-src 'self' https://*.googleapis.com *.google.com https://*.gstatic.com data: blob:;
font-src https://fonts.gstatic.com;
style-src 'nonce-{style value}' https://fonts.googleapis.com;
worker-src blob:;

एचटीएमएल पेज का सैंपल

<!DOCTYPE html>
<html>
  <head>
    <link rel="stylesheet" href="style.css" nonce="{style value}">
    <style nonce="{style value}">...</style>
    ...
  </head>
  <body>
    <div id="map"></div>
    <script src="https://maps.googleapis.com/maps/api/js?key=&callback=initMap" async nonce="{script value}"></script>
    <script nonce="{script value}"> function initMap() { ... } </script>
  </body>
</html>

अनुमति वाली सूची वाली सीएसपी

अगर आपने अनुमति वाली सूची वाली सीएसपी सेट अप की है, तो कृपया Google Maps के डोमेन की सूची देखें. हमारा सुझाव है कि अप-टू-डेट रहने के लिए, इस दस्तावेज़ और Maps JavaScript API के रिलीज़ नोट देखें. साथ ही, ज़रूरत पड़ने पर, अनुमति वाली सूची में किसी नए सेवा डोमेन को शामिल करें.

जिन वेबसाइटों पर Maps JavaScript API, Google के पुराने एपीआई के डोमेन (उदाहरण के लिए, maps.google.com) या इलाके के हिसाब से बने डोमेन (उदाहरण के लिए, maps.google.fr) से लोड होता है उन्हें अपने सीएसपी की script-src सेटिंग में इन डोमेन के नाम भी शामिल करने होंगे. जैसा कि यहां दिए गए उदाहरण में दिखाया गया है:

script-src 'self' 'unsafe-inline' 'unsafe-eval' https://*.googleapis.com https://*.gstatic.com *.google.com https://*.ggpht.com *.googleusercontent.com blob:;
img-src 'self' https://*.googleapis.com https://*.gstatic.com *.google.com  *.googleusercontent.com data:;
frame-src *.google.com;
connect-src 'self' https://*.googleapis.com *.google.com https://*.gstatic.com  data: blob:;
font-src https://fonts.gstatic.com;
style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;
worker-src blob:;