DocumentationAEMGuide de Dispatcher

Configurer Dispatcher afin d’empêcher les attaques par falsification de requête intersites (CSRF, Cross Site Request Forgery) configuring-dispatcher-to-prevent-csrf-attacks

Last update: Fri Mar 08 2024 00:00:00 GMT+0000 (Coordinated Universal Time)

Créé pour :

  • Admin

AEM fournit une infrastructure visant à empêcher les attaques par falsification de requête intersites. Pour utiliser correctement cette infrastructure, vous devez apporter les modifications suivantes à la configuration de Dispatcher :

NOTE
Veillez à mettre à jour les numéros des règles dans les exemples ci-dessous en fonction de votre configuration existante. N’oubliez pas que Dispatcher utilisera la dernière règle correspondante pour accorder une autorisation ou un refus. Par conséquent, placez les règles près du bas de votre liste existante.
  1. Dans la section /clientheaders de vos fichiers author-farm.any et publish-farm.any, ajoutez l’entrée suivante au bas de la liste :
    CSRF-Token
  2. Dans la section /filters de vos fichiers author-farm.any et publish-farm.any ou publish-filters.any, ajoutez la ligne suivante afin d’autoriser les demandes pour /libs/granite/csrf/token.json au moyen de Dispatcher.
    /0999 { /type "allow" /glob " * /libs/granite/csrf/token.json*" }
  3. Dans la section /cache /rules de votre fichier publish-farm.any, ajoutez une règle permettant d’empêcher Dispatcher de mettre en cache le fichier token.json. En général, les auteurs contournent la mise en cache, de sorte que vous n’avez pas à ajouter de règle au fichier author-farm.any.
    /0999 { /glob "/libs/granite/csrf/token.json" /type "deny" }

Pour vérifier que la configuration fonctionne, consultez le fichier dispatcher.log en mode de DÉBOGAGE pour contrôler que le fichier token.json n’est ni mis en cache, ni bloqué par des filtres. Des messages de ce type peuvent apparaître :
... checking [/libs/granite/csrf/token.json]
... request URL not in cache rules: /libs/granite/csrf/token.json
... cache-action for [/libs/granite/csrf/token.json]: NONE

Vous pouvez également vérifier que les demandes réussissent dans le fichier Apache access_log. Les requêtes pour``/libs/granite/csrf/token.json doivent renvoyer le code d’état HTTP 200.

recommendation-more-help
ce382601-480f-4a99-8be7-73178d4b6ef5