Validação, limpeza e codificação

Validação, limpeza e codificação de entrada de endereços para evitar vulnerabilidades como Script entre sites (XSS), injeção de SQL e outros ataques.

Este controle garante que a validação de entrada e a codificação de saída estejam em vigor e configuradas corretamente, como codificação ou escape de dados de saída. Esta categoria também inclui verificações de itens como desserialização de objetos, área restrita quando necessário e validação positiva por meio de listas de permissões.

• Restringir o acesso à API com script GlideSystemUserSession [Atualizado na Central de segurança 1.3]
  A API passível de script GlideSystemUserSessionSandbox cliente chamável expõe os métodos addErrorMessageNoSanitization e addInfoMessageNoSanitization de GlideSystemUserSession para a área restrita do javascript. Isso permite que todos os usuários chamem este método por meio de script.
• Desabilitar marcadores JavaScript no HTML incorporado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.codetag.allow_script para desabilitar o suporte para incorporação de código HTML JavaScript criado usando o marcador [code].
• Habilitar o gerenciador de segurança Java protegido [Novo na Central de segurança 1.3]
  A propriedade glide.security.manager contém o nome da classe Java do gerenciador de segurança Java atual.
• Impor a limpeza de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade com.glide.security.check_unsanitized_html para impor o comportamento de limpeza dos campos translated_html globalmente para atribuições de campo.
• Como impor a área restrita de scripts gerados pelo cliente [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.script.use.sandbox para habilitar a área restrita de script.
• Como converter imagens de e-mails recebidos em anexos [Atualizado na Central de segurança 1.3 e removido na 1.5]
  Use a propriedade glide.email.inbound.convert_html_inline_attachment_references para especificar se o e-mail de entrada deve ser convertido em HTML para que as imagens do e-mail apareçam na visualização do corpo do HTML.
• Desabilitar AJAXEvaluate
  Use glide.script.allow.ajaxevaluate para proteger a API do sistema contra vulnerabilidades de execução de script do cliente por meio de chamadas AJAX.
• Como desativar a expansão de entidade no Analisador de fluxo de XMLDocument2 [Atualizado na Central de segurança 1.5]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.stax.allow_entity_resolution para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Desabilitar URL do conteúdo externo
  Gerencie como os metadados de link externo são usados em sua instância com o Bate-papo do Connect.
• Como definir tipos MIME para download restritos [Atualizado na Central de segurança 1.3]
  A propriedade glide.ui.attachment.download_mime_types forçará a lista especificada de tipos de arquivos perigosos a ser baixada para o cliente e não exibida em linha no navegador.
• Como desabilitar o código HTML integrado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.allow_codetag para desabilitar o suporte para incorporação de código HTML criado usando o marcador [code].
• Como habilitar o Sanitizer de HTML no Virtual Agent [Atualizado na Central de segurança 1.3]
  Use a propriedade com.glide.cs.html.sanitizer.enabled para habilitar o HTMLSanitizerService.
• Habilitar proteção de interpolação do JS Jelly
  Use a propriedade glide.ui.jelly.js_interpolation.protect para garantir que qualquer JavaScript prestes a ser executado em uma página do Jelly esteja protegido contra injeção com a ajuda da interpolação do Jelly.
• Habilitar proteção de interpolação do JS Jelly para expressões aninhadas
  Gerencie a proteção de interpolação na sua instância.
• Impor links relativos
  Use a propriedade glide.cms.catalog_uri_relative para impor links relativos do parâmetro URI em em/ess/catalog.do.
• Impor verificação da lista de permissões de URL
  Use a propriedade glide.security.url.whitelist para adicionar uma camada extra de validação para garantir que qualquer URL externo introduzido faça parte dos URLs da lista de inclusões.
• Escapar fórmulas do Excel [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.export.escape_formulas para impedir a injeção do Excel, também conhecida como injeção de fórmula.
• Como fazer escapes de HTML em exibições de lista [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.escape_html_list_field para forçar escapes de HTML para campos HTML em uma exibição de lista.
• Escapar do JavaScript
  Use a propriedade glide.html.escape_script para forçar o escape de marcadores JavaScript (<script></script>) em campos HTML nas exibições de lista.
• Como fazer escape de scripts Jelly [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.escape_all_script para forçar o escape de todos os scripts injetados no Jelly.
• Scripts de escape no bloco de anotações [Atualizado na Central de segurança 1.3]
  Saiba como o bloco de anotações afeta a postura de segurança da sua instância e como gerenciá-lo para que scripts mal-intencionados não possam ser executados nele.
• Como fazer escapes de marcação XML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.escape_text para forçar o escape de valores XML no nível do analisador antes de transmiti-los ao navegador do cliente.
• Escapar resposta XML
  Gerencie como os escapes XML são tratados em sua instância.
• Como habilitar o Sanitizer de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.html.sanitize_all_fields para habilitar a inclusão de script HTMLSanitizer, que limpa a entrada de HTML, de acordo com os atributos das listas de exclusões e de inclusões configuradas em um script.
• Restrição de pacotes Java permitidos [Atualizado na Central de segurança 1.3]
  Configurar essas propriedades protege contra APIs perigosas expostas ao mecanismo de script.
• Nome distinto inicial do LDAP não definido [Atualizado na Central de segurança 1.3]
  Use esta propriedade para gerenciar o nome distinto de um registro do servidor LDAP.
• Como impor a segurança estrita de cookies de sessão [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.secure_cookies para exigir cookies formatados corretamente
• Como minimizar o limite de expansão da entidade [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.xmlutil.max_entity_expansion para alterar o limite máximo de expansão da entidade para um número menor.
• Restrição de tipos MIME carregados [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.security.file.mime_type.validation para ativar a verificação de tipo MIME para uploads. Você pode habilitar (definir a propriedade como verdadeira) ou desabilitar (defini-la como falsa) a validação do tipo MIME para anexos de arquivo.
• Restrição de entidades externas XML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.security.file.mime_type.validation para ativar a verificação de tipo MIME para uploads. Você pode habilitar (definir a propriedade como verdadeira) ou desabilitar (defini-la como falsa) a validação do tipo MIME para anexos de arquivo.
• Exigência de validação da entidade XMLdoc2 com expansão da entidade allowlistDisable [Atualizado na Central de segurança 1.3]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.xmlutil.max_entity_expansion para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Definir uma política de segurança de conteúdo para arquivos SVG [Novo na Central de segurança 1.3]
  A propriedade com.glide.csp.self_script_src_svg adiciona a diretiva script-src none ao cabeçalho Content-Security-Policy HTTP quando Scalable Vetor Graphics (SVGs) são acessados por meio da extensão de arquivo Translation Memory Index (IIX).