O segundo nível de configuração(ões) que precisamos fazer para utilização do HTTP Server são as locations ou sites que indica URL raiz que será atendida neste site. No  podemos configurar mais de um site para cada servidor. Cada seção de site/location criada no arquivo de configuração deve ser informada na chave locations da seção do Server que receberá a requisição HTTP.

Nesta seção podemos configurar as seguintes chaves:


ChaveDescriçãoValoresPadrãoObrigatório
PathURN do site

X
RootPathDiretório onde estão armazenados os arquivos do site, pode ser informado como um path absoluto ou relativo ao diretório onde o servidor de aplicações executa.

X
TempPathDiretório onde serão armazenados os arquivos temporários. É um subdiretório do RootPath e é tratado como um path relativo. Não pode ser informado como um path absoluto. 
Os dados temporários serão armazenados no RootPath.
DefaultPagePáginas iniciais que serão inicializadas no acesso a URL. Podem ser informadas várias páginas separados por espaço. Podem ser definidas mais de uma página default separados pode vírgula (,)


ThreadPoolObrigatório, define qual thread pool irá executar as requisições dinâmicas

X
CORSlista com as configurações CORS utilizadas pela location


HSTSsessão com a configuração do HSTS


XFrameOptions

Permite configurações de X-Frame options.

  • deny: A página não pode ser exibida em um frame, independentemente do site que tente fazê-lo.
  • sameorigin: a página só pode ser exibida em um frame na mesma origem da própria página.
  • allow-from https://example.com/:  a página só pode ser exibida em um frame na origem especificada. Observe que, no Firefox, isso ainda sofre do mesmo problema que o sameorigin - ele não verifica os antepassados ​​do quadro para ver se eles estão na mesma origem.

deny

sameorigin

allow-from https://example.com/



AllowMethodsLista dos métodos HTTP permitidos para o site. Somente os métodos permitidos pelo servidor serão válidos. Portanto a interseção deles será utilizada pelo servidor HTTP. O mesmo ocorrerá nas chamadas dinâmicas e para o CORS. Uma nova interseção será criada em cascata. O padrão é ter todos os métodos que o servidor suporta.
Todos os métodos suportados
CharsetDefine o encode padrão que será utilizado pela location.
UTF-8
[LOC01]
Path=/tp01/
RootPath=web
TempPath=temp
DefaultPage=resttest.html,getstats.html
ThreadPool=TP_01
AllowMethods=GET, POST, PUT, DELETE, OPTIONS, PATCH
CORS=CORS_UPD, CORS_GET
hsts=HSTS_01
XFrameOptions=deny
Charset=cp1252

[LOC02]
Path=/tp01_1/
RootPath=web
DefaultPage=resttest.html,getstats.html
ThreadPool=TP_01
CORS=CORS_GET
hsts=HSTS_02
XFrameOptions=sameorigin

[LOC03]
Path=/tp02/
RootPath=web
DefaultPage=resttest.html,getstats.html
ThreadPool=TP_02
CORS=CORS_UPD
XFrameOptions=allow-from https://example.com/