Liferay DXP 7.1はHTTPヘッダをサポートしていますか？

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• Liferay DXP 7.1は以下のHTTPヘッダをサポートしていますか？ "X-Frame-Options"、"X-XSS-Protection"、"X-Content-Type-Options "をサポートしていますか？ そうでない場合、同じを有効にするために、アプリケーション側からどのような変更を行う必要があります。

環境

• Liferay DXP 7.1

解決

• Liferayポータルは、以下のヘッダーですでに保護されており、デフォルトで有効になっています。 Liferay DXP 7.1の system.properties に記載されています。
  

  #
      # Set this to true for the portal to send the "X-Frame-Options: DENY" HTTP
      # header to protect against clickjacking.
      #
      # Custom HTTP header values instead of "DENY" can be specified per URL via
      # the properties "http.header.secure.x.frame.options.*".
      #
      http.header.secure.x.frame.options=true

      #
      # Set this to nonempty value for the portal to send the "X-XSS-Protection"
      # HTTP header to block cross-site scripting attacks. Possible nonempty
      # values are "0", "1" and "1; mode=block"
      #
      http.header.secure.x.xss.protection=1

      #
      # Set this to true for the portal to send the "X-Content-Type-Options:
      # nosniff" HTTP header to protect against MIME sniffing. Custom URLs can
      # specified in the property
      # "http.header.secure.x.content.type.options.urls.excludes" that allow for
      # unhindered MIME sniffing.
      #
      http.header.secure.x.content.type.options=true

  以下のスクリーンショットをご参照ください。
  
  
• HTTP セキュリティヘッダはデフォルトで有効になっているので、同じものを有効にするためのアクションは必要ありません。

追加情報

• Liferay DXPのセキュリティ確保について紹介します。