Artikel zum Thema:
Schließen
Changelog
Schließen
In der cloud testen
Hilfe-Center
ONLYOFFICE Docs Enterprise Edition

Arbeiten mit Plugins bei Verwendung von CSP

ONLYOFFICE Docs v7.1 ONLYOFFICE Docs Änderungsprotokoll

Version 7.1.1

Release date: 06/02/2022

Version 7.1.0

Release date: 05/12/2022

Version 7.0.1

Release date: 02/22/2022

Version 7.0.0

Release date: 01/18/2022

Version 6.4.2

Release date: 10/14/2021

Version 6.4.1

Release date: 09/28/2021

Version 6.4.0

Release date: 08/26/2021

Version 6.3.2

Release date: 08/10/2021

Version 6.3.1

Release date: 06/08/2021

Version 6.3.0

Release date: 05/20/2021

Version 6.2.2

Release date: 04/19/2021

Version 6.2.1

Release date: 03/31/2021

Version 6.2.0

Release date: 03/01/2021

Version 6.1.1

Release date: 01/28/2021

Version 6.1.0

Release date: 12/02/2020

Version 6.0.2

Release date: 11/12/2020

Version 6.0.1

Release date: 10/28/2020

Version 6.0.0

Release date: 10/14/2020

Version 5.6.5

Release date: 09/21/2020

Version 5.6.4

Release date: 09/08/2020

Version 5.6.3

Release date: 08/17/2020

Version 5.6.2

Release date: 08/07/2020

Version 5.6.1

Release date: 08/05/2020

Version 5.6.0

Release date: 07/29/2020

Version 5.5.3

Release date: 05/22/2020

Version 5.5.1

Release date: 04/09/2020

Version 5.5.0

Release date: 03/05/2020

Version 5.4.2

Release date: 11/27/2019

Version 5.4.1

Release date: 10/02/2019

Version 5.4.0

Release date: 09/03/2019

Version 5.3.4

Release date: 07/16/2019

Version 5.3.2

Release date: 06/24/2019

Version 5.3.1

Release date: 06/06/2019

Version 5.3.0

Release date: 05/28/2019

Version 5.2.8

Release date: 02/05/2019

Version 5.2.7

Release date: 01/16/2019

Version 5.2.6

Release date: 12/25/2018

Version 5.2.4

Release date: 12/12/2018

Version 5.2.3

Release date: 10/31/2018

Version 5.2.2

Release date: 10/05/2018

Version 5.2.0

Release date: 09/28/2018

Version 5.1.5

Release date: 07/18/2018

Version 5.1.4

Release date: 05/24/2018

Version 5.1.3

Release date: 04/27/2018

Version 5.1.2

Release date: 04/11/2018

Version 5.1.1

Release date: 04/05/2018

Version 5.1.0

Release date: 03/28/2018

Version 5.0.7

Release date: 01/16/2018

Version 5.0.6

Release date: 12/11/2017

Version 5.0.5

Release date: 11/28/2017

Version 5.0.4

Release date: 11/14/2017

Version 5.0.3

Release date: 11/02/2017

Version 5.0.2 SaaS only

Release date: 10/13/2017

Version 5.0.1 SaaS only

Release date: 10/05/2017

Version 5.0.0 SaaS only

Release date: 09/23/2017

Version 4.4.4

Release date: 09/13/2017

Windows-only release

See changelog on GitHub

Version 4.4.3

Release date: 08/14/2017

Version 4.4.2

Release date: 07/24/2017

Version 4.4.1

Release date: 07/05/2017

Version 4.3.6

Release date: 06/14/2017

Version 4.3.5

Release date: 06/05/2017

Version 4.3.4

Release date: 05/16/2017

Version 4.3.3

Release date: 04/28/2017

Version 4.3.2

Release date: 04/17/2017

Version 4.3.1

Release date: 04/06/2017

Version 4.3.0

Release date: 04/03/2017

Version 4.2.11

Release date: 03/13/2017

Version 4.2.10

Release date: 02/20/2017

Version 4.2.9

Release date: 02/14/2017

Version 4.2.8

Release date: 02/06/2017

Version 4.2.7

Release date: 02/01/2017

Version 4.2.5

Release date: 01/16/2017

Version 4.2.4

Release date: 01/09/2017

Version 4.2.3

Release date: 12/23/2016

Version 4.2.2

Release date: 12/21/2016

Version 4.2.1

Release date: 12/06/2016

Version 4.2.0

Release date: 12/01/2016

Version 4.1.8

Release date: 11/03/2016

Version 4.1.7

Release date: 11/01/2016

Version 4.1.6

Release date: 10/26/2016

Version 4.1.5

Release date: 10/13/2016

Version 4.1.4

Release date: 10/07/2016

Version 4.1.3

Release date: 09/28/2016

Version 4.1.2

Release date: 09/22/2016

Version 4.0.3

Release date: 08/04/2016

Version 4.0.2

Release date: 08/03/2016

Einletung

Content Security Policy (CSP) ist ein Sicherheitsstandard, der einige Bedrohungen wie Cross-Site Scripting (XSS)-Angriffe usw. verhindern soll. Wenn CSP aktiviert ist, können nur Inhalte aus genehmigten Quellen geladen werden. Sie verbietet insbesondere Anfragen auf nicht ausdrücklich erlaubte Domains von Drittanbietern.

Wenn Sie ONLYOFFICE Docs (Enterprise Edition oder Developer Edition) verwenden, die in Ihre Weblösung integriert ist, und CSP auf Ihrem Webserver aktiviert ist, um die Sicherheitsmaßnahmen zu verbessern, können die CSP-Standardeinstellungen einige Probleme verursachen. ONLYOFFICE Online-Editoren enthalten eine Reihe von Plugins, von denen einige Ressourcen von Drittanbietern verwenden und Anfragen an Domains von Drittanbietern stellen, z.B. das YouTube-Plugin. Da CSP Anfragen an Drittanbieter-Domains verbietet, verhindert dies, dass Plugins ordnungsgemäß funktionieren, z.B. das Laden von YouTube-Videos blockieren.

Hinzufügen von Drittanbieter-Domains zur Liste der zulässigen Quellen

Damit Plugins richtig funktionieren, müssen Sie Anfragen an bestimmte Domains zulassen (die vollständige Liste der Domains finden Sie unten). Dies kann durch Ändern des HTTP-Headers erfolgen, der CSP aktiviert. Je nach verwendeter Lösung kann sich dieser Header in verschiedenen Dateien befinden. Diese Anleitung beschreibt die Grundprinzipien, nicht die Einzelfälle. Der Header sollte so aussehen:

Header set Content-Security-Policy "default-src 'self'; script-src 'self'; connect-src 'self';  img-src 'self'; style-src 'self';"

Dieser String enthält Direktiven, die die zulässigen Quellen für verschiedene Inhaltstypen angeben: Skripte, Stylesheets, Schriftarten, Bilder, HTML5 <audio> oder <video> Elemente usw.

Die Direktive default-src wird angewendet, wenn keine Direktive für einen bestimmten Ressourcentyp angegeben ist.

‘self’ bedeutet, dass die Inhalte nur von der aktuellen Domain geladen werden können.

Es ist notwendig, die Direktive default-src zu bearbeiten und die vertrauenswürdigen Domainwerte hinzuzufügen:

default-src 'self' *.trusted1.com *.trusted2.com

Dadurch können Anfragen an die angegebenen vertrauenswürdigen Domains *.trusted1.com und *.trusted2.com einschließlich ihrer Subdomains gestellt und Inhalte von diesen geladen werden.

Domainliste von Drittanbietern

Die folgenden Plugins stellen Anfragen an Drittanbieter-Domains:

Plugin Domain
clipart https://openclipart.org
speech https://code.responsivevoice.org
youtube https://www.youtube.com
synonim https://words.bighugelabs.com
translate https://translate.yandex.net
ocr https://cdn.rawgit.com

Die folgenden Plugins aus den oben aufgeführten Plugins sind standardmäßig in ONLYOFFICE Online-Editoren enthalten: ocr, speech, synonim, translate, youtube.

Das Plugin clipart ist nicht in Online-Editoren enthalten, aber es ist unter https://github.com/ONLYOFFICE/sdkjs-plugins verfügbar und Sie können es manuell den Editoren hinzufügen.

Um alle genannten Domains in die Liste der erlaubten Quellen aufzunehmen, sollte der HTTP-Header so aussehen:

Header set Content-Security-Policy "default-src 'self' *openclipart.org *code.responsivevoice.org *www.youtube.com *words.bighugelabs.com *translate.yandex.net *cdn.rawgit.com; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
Wenn Sie die ONLYOFFICE Enterprise Edition zusätzlich für die Verwendung von CSP konfiguriert und die Plugins wordpress und easybib aktiviert haben, müssen Sie auch die Domains *wordpress.com und *easybib.com angeben.
Herunterladen Auf Ihrem eigenen Server hosten Verfügbar für
Docker, Windows und Linux
Wer sich dafür interessiert hat,
hat auch das Folgende gelesen:
Schließen