Utilizzo di policy di intestazioni di risposta gestite - Amazon CloudFront
CORS-and-SecurityHeadersPolicyCORS-With-PreflightCORS-with-preflight-and-SecurityHeadersPolicySecurityHeadersPolicySimpleCORS

Utilizzo di policy di intestazioni di risposta gestite

Con una policy delle intestazioni di risposta CloudFront, puoi specificare le intestazioni HTTP che Amazon CloudFront rimuove aggiunge alle risposte inviate ai visualizzatori. Per ulteriori informazioni sulle policy delle intestazioni di risposta e sul perché utilizzarle, consulta Aggiunta o rimozione di intestazioni HTTP in risposte CloudFront con una policy.

CloudFront fornisce policy per le intestazioni di risposta gestite che è possibile collegare ai comportamenti della cache nelle distribuzioni CloudFront. Con una policy delle intestazioni di risposta gestita, non è necessario scrivere o gestire policy personalizzate. Le policy gestite da contengono set di intestazioni di risposta HTTP per casi d'uso comuni.

Per utilizzare una policy di intestazioni di risposta gestita, è necessario collegarla a un comportamento della cache nella distribuzione. Il processo è lo stesso di quando si crea una policy di intestazioni di risposta personalizzata. Tuttavia, invece di creare una nuova policy, si allega una delle policy gestite. Si allega la policy per nome (con la console) o per ID (con CloudFormation, AWS CLI o SDK AWS). I nomi e gli ID sono elencati nella sezione seguente.

Per ulteriori informazioni, consulta Creazione di policy delle intestazioni di risposta.

Negli argomenti seguenti vengono descritte le policy delle intestazioni di risposta gestite che è possibile utilizzare.

CORS-and-SecurityHeadersPolicy

Visualizzare questa policy nella console di CloudFront

Usa questa policy gestita per consentire semplici richieste CORS da qualsiasi origine. Utilizza questa policy gestita per aggiungere un set di intestazioni di sicurezza a tutte le risposte inviate da CloudFront ai visualizzatori. Questa policy combina le policy SimpleCORS e SecurityHeadersPolicy in uno.

Quando si utilizza CloudFormation, l'AWS CLI o l'API di CloudFront, l'ID di questa policy è:

e61eb60c-9c35-4d20-a928-2b84e02af89c

Impostazioni delle policy
Nome intestazione Valore intestazione Sostituzione dell'origine?
Intestazioni CORS: Access-Control-Allow-Origin * No
Intestazioni di sicurezza: Referrer-Policy strict-origin-when-cross-origin No
Strict-Transport-Security max-age=31536000 No
X-Content-Type-Options nosniff Sì
X-Frame-Options SAMEORIGIN No
X-XSS-Protection 1; mode=block No

CORS-With-Preflight

Visualizzare questa policy nella console di CloudFront

Utilizzare questa policy gestita per consentire richieste CORS da qualsiasi origine, incluse le richieste di verifica preliminare. Per richieste di verifica preliminare (utilizzando il metodo HTTP OPTIONS), CloudFront aggiunge tutte e tre le seguenti intestazioni alla risposta. Per semplici richieste CORS, CloudFront aggiunge solo l'intestazione Access-Control-Allow-Origin.

Se la risposta che CloudFront riceve dall'origine include una di queste intestazioni, CloudFront utilizza l'intestazione ricevuta (e il suo valore) nella risposta al visualizzatore. CloudFront non utilizza l'intestazione in questa policy.

Quando si utilizza CloudFormation, l'AWS CLI o l'API di CloudFront, l'ID di questa policy è:

5cc3b908-e619-4b99-88e5-2cf7f45965bd

Impostazioni delle policy
Nome intestazione Valore intestazione Sostituzione dell'origine?
Intestazioni CORS: Access-Control-Allow-Methods DELETE, GET, HEAD, OPTIONS, PATCH, POST, PUT No
Access-Control-Allow-Origin *
Access-Control-Expose-Headers *

CORS-with-preflight-and-SecurityHeadersPolicy

Visualizzare questa policy nella console di CloudFront

Usa questa policy gestita per consentire richieste CORS da qualsiasi origine. Sono incluse le richieste di verifica preliminare. Utilizza questa policy gestita per aggiungere un set di intestazioni di sicurezza a tutte le risposte inviate da CloudFront ai visualizzatori. Questa policy combina le policy CORS-With-Preflight e SecurityHeadersPolicy in uno.

Quando si utilizza CloudFormation, l'AWS CLI o l'API di CloudFront, l'ID di questa policy è:

eaab4381-ed33-4a86-88ca-d9558dc6cd63

Impostazioni delle policy
Nome intestazione Valore intestazione Sostituzione dell'origine?
Intestazioni CORS: Access-Control-Allow-Methods DELETE, GET, HEAD, OPTIONS, PATCH, POST, PUT No
Access-Control-Allow-Origin *
Access-Control-Expose-Headers *
Intestazioni di sicurezza: Referrer-Policy strict-origin-when-cross-origin No
Strict-Transport-Security max-age=31536000 No
X-Content-Type-Options nosniff Sì
X-Frame-Options SAMEORIGIN No
X-XSS-Protection 1; mode=block No

SecurityHeadersPolicy

Visualizzare questa policy nella console di CloudFront

Utilizza questa policy gestita per aggiungere un set di intestazioni di sicurezza a tutte le risposte inviate da CloudFront ai visualizzatori. Per ulteriori informazioni su queste intestazioni di sicurezza, consulta Mozilla's web security guidelines (Linee guida sulla sicurezza Web di Mozilla).

Con questa policy delle intestazioni di risposta, CloudFront aggiunge X-Content-Type-Options: nosniff a tutte le risposte. Questo è il caso in cui la risposta ricevuta da CloudFront dall'origine includeva questa intestazione e quando no. Per tutte le altre intestazioni di questa policy, se la risposta che CloudFront riceve dall'origine include tale intestazione, CloudFront utilizza l'intestazione ricevuta (e il suo valore) nella risposta al visualizzatore. Non utilizza l'intestazione in questa policy.

Quando si utilizza CloudFormation, l'AWS CLI o l'API di CloudFront, l'ID di questa policy è:

67f7725c-6f97-4210-82d7-5512b31e9d03

Impostazioni delle policy
Nome intestazione Valore intestazione Sostituzione dell'origine?
Intestazioni di sicurezza: Referrer-Policy strict-origin-when-cross-origin No
Strict-Transport-Security max-age=31536000 No
X-Content-Type-Options nosniff Sì
X-Frame-Options SAMEORIGIN No
X-XSS-Protection 1; mode=block No

SimpleCORS

Visualizzare questa policy nella console di CloudFront

Usa questa policy gestita per consentire semplici richieste CORS da qualsiasi origine. Con questa policy, CloudFront aggiunge l'intestazione Access-Control-Allow-Origin: * a tutte le risposte per semplici richieste CORS.

Se la risposta che CloudFront riceve dall'origine include l'intestazione Access-Control-Allow-Origin, CloudFront utilizza quell'intestazione (e il suo valore) nella risposta al visualizzatore. CloudFront non utilizza l'intestazione in questa policy.

Quando si utilizza CloudFormation, l'AWS CLI o l'API di CloudFront, l'ID di questa policy è:

60669652-455b-4ae9-85a4-c4c02393f86c

Impostazioni delle policy
Nome intestazione Valore intestazione Sostituzione dell'origine?
Intestazioni CORS: Access-Control-Allow-Origin * No