Histórico da Página

Para realizar as configurações do headers abaixo será necessário acessar o arquivo web.config da pasta FrameHTML\Web\App\Edu\PortalDoProfessor

As configuração mencionadas abaixo são apenas uma sugestão de parametrização, pois dependerá da configuração do ambiente de cada cliente. 

Todas as informações sugeridas foram checadas e testadas em um ambiente controlado com o apoio do nosso time de segurança e com resultados de Pentests executados internamente ou externamente pelos nossos clientes. No entanto, é recomendado que as configurações sejam realizadas inicialmente em um ambiente de homologação, devido à variedade e complexidade das configurações e especificidades dos servidores de cada cliente.

   <httpProtocol>
      <customHeaders>
	 	<remove name="Content-Security-Policy" />
        <add name="Content-Security-Policy" value=
              " default-src 'self' blob: data: gap:; 
				font-src 'self' https://fonts.gstatic.com; 
				img-src 'self' data:; 
				script-src 'report-sample' 'self' 'unsafe-inline' 'unsafe-eval'; 
				style-src 'report-sample' 'self' 'unsafe-inline';           
			  "/>
   </customHeaders>
 </httpProtocol>

A tag "<remove name="Content-Security-Policy" />", deve ser incluída obrigatóriamente caso a instituição deseja customomizar o atributo "Content Security Policy (CSP)".

Os atributos abaixo são obrigatórios devido a exigência do funcionamento da aplicação nas diretivas relacionadas

• 'unsafe-inline': script-src e style-src
• 'unsafe-eval': script-src

Todas as customizações do cliente, exemplo imagens, fontes, url, entre outros, devem ser incluídas no atributo "Content Security Policy (CSP)", pois são necessáriopara o funcionamento da aplicação.

O elemento HttpProtocol deve ser incluído no nó <system.webServer>