HTTP X-Permitted-Cross-Domain-Policies заголовок ответа определяет метаполитику, которая управляет тем, могут ли ресурсы сайта быть доступны из другого источника документу, работающему в веб-клиенте, например Adobe Acrobat или Microsoft Silverlight.

Его можно использовать в случаях, когда веб-сайту необходимо объявить политику междоменного доступа, но он не может записать файл в корневой каталог домена.

Этот заголовок используют реже, поскольку Adobe Flash Player и Microsoft Silverlight устарели. Некоторые инструменты тестирования безопасности по-прежнему проверяют наличие заголовка X-Permitted-Cross-Domain-Policies: none, поскольку он может снизить риск случайного или злонамеренного добавления на сайт файла политики с чрезмерно широкими разрешениями.

Синтаксис

X-Permitted-Cross-Domain-Policies: <permitted-cross-domain-policy>

Директивы

none

Файлы политик запрещены на целевом сервере, включая главный файл политики.

master-only

Разрешает междоменный доступ к главному файлу политики, определённому в том же домене.

by-content-type (только HTTP/HTTPS)

Разрешены только файлы политик, переданные с Content-Type: text/x-cross-domain-policy.

by-ftp-filename (только FTP)

Разрешены только файлы политик с именами crossdomain.xml (URL-адреса, заканчивающиеся на /crossdomain.xml).

all

Разрешены все файлы политик в этом целевом домене.

none-this-response

Указывает, что текущий документ нельзя использовать как файл политики, несмотря на другие заголовки или его содержимое. Это значение используется только в HTTP-заголовке.

Описание

Веб-клиенты, такие как Adobe Acrobat или Apache Flex, могут загружать веб-документы, которые, в свою очередь, могут загружать ресурсы с того же или других сайтов. По умолчанию доступ ограничен ресурсами того же сайта в соответствии с политикой одного источника, однако сайты из других источников могут разрешить клиентам доступ из другого источника к некоторым или всем своим ресурсам с помощью специальных файлов, называемых файлами политики междоменного доступа.

«Главный» файл политики междоменного доступа можно определить как файл crossdomain.xml в корневом каталоге домена, например: http://example.com/crossdomain.xml. Главный файл определяет метаполитику для всего сайта с помощью атрибута permitted-cross-domain-policies тега <site-control>. Метаполитика определяет, разрешены ли какие-либо политики, а также условия использования других «дочерних» файлов политики междоменного доступа. Эти другие файлы политик могут создаваться в отдельных каталогах, чтобы задавать доступ к файлам в соответствующем дереве каталогов.

Например, это наименее разрешительное определение главной политики: оно не разрешает никакого доступа и не позволяет использовать другие «дочерние» файлы политик.

<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
  <site-control permitted-cross-domain-policies="none"/>
</cross-domain-policy>

Заголовок X-Permitted-Cross-Domain-Policies может задавать метаполитику для HTTP-ответа, в который он включён, или переопределять метаполитику, заданную в главном файле политики междоменного доступа, если такой файл существует. Он принимает те же значения, что и атрибут permitted-cross-domain-policies файла, а также значение none-this-response.

Чаще всего его используют для запрета любого доступа к ресурсам сайта, если разработчик не может создать главный файл политики междоменного доступа в корневом каталоге сайта.

Примеры

Запрет файлов политики междоменного доступа

Если вам не нужно загружать данные приложения в такие клиенты, как Adobe Flash Player или Adobe Acrobat (или устаревшие клиенты), настройте заголовок следующим образом: X-Permitted-Cross-Domain-Policies: none:

X-Permitted-Cross-Domain-Policies: none

Спецификации

Документировано в спецификации Adobe для файлов политики междоменного доступа.

См. также

• Междоменный обмен ресурсами (CORS)
• Практические руководства по реализации мер безопасности
• HTTP Observatory — инструмент проверки заголовков
• Настройка междоменного доступа на adobe.com
• X-Permitted-Cross-Domain-Policies в проекте OWASP Secure Headers