ตัวสร้าง Permissions-Policy Header
สร้าง Permissions-Policy header ควบคุม camera, geolocation, payment และ browser feature อื่นแยกตาม origin พร้อม preset สำหรับ nginx, Apache และ Express
Loading tool...
ตัวสร้าง Permissions-Policy Header คืออะไร?
ตัวสร้าง Permissions-Policy header สำหรับควบคุม browser feature ที่มีอำนาจสูง เปิด-ปิด camera, microphone, geolocation, payment และอีก 20 กว่า feature เลือกว่าแต่ละอย่างอนุญาตที่ไหน — ไม่มีที่ไหนเลย เฉพาะ origin เดียวกัน ทุกที่ หรือรายชื่อ origin ที่กำหนดเอง — แล้วคัดลอก header สุดท้าย พร้อม snippet ของ nginx, Apache และ Express.js
ประโยชน์หลัก
- บล็อก API ที่ sensitive ไว้ก่อนโดยไม่ต้องเชื่อทุก iframe ที่ฝังเข้ามา
- อนุญาต feature เฉพาะ origin ที่ต้องใช้จริงเท่านั้น
- ได้ syntax แบบ structured field ที่ถูกต้องโดยอัตโนมัติ ไม่ต้องลองผิดลองถูก
- ตอบโจทย์ข้อกำหนด secure headers ของ OWASP ได้ทันที
- มี snippet สำหรับ nginx, Apache และ Express รวมไว้ในที่เดียว
กรณีการใช้งาน
- •ล็อก camera, microphone และ geolocation บนเว็บ content ที่มี third-party embed
- •อนุญาต iframe ประชุมทางไกลหรือชำระเงิน โดยยังบล็อก feature นั้นสำหรับ source อื่น
- •เพิ่ม header ที่ security scan หรือรายงาน pentest แจ้งว่าขาดหายไป
- •ทำให้ policy เหมือนกันทั้ง environment staging และ production
วิธีใช้ตัวสร้าง Permissions-Policy Header
- เลือก feature ที่จะควบคุม: ติ๊กเลือก browser feature ที่ต้องการควบคุม เช่น camera, microphone หรือ geolocation ใช้ preset ช่วยได้ ทั้งบล็อก feature ที่ sensitive ทั้งหมด หรืออนุญาต feature ทั่วไปเฉพาะ origin เดียวกันในคลิกเดียว
- เลือกโหมดการอนุญาต: สำหรับแต่ละ feature ที่เปิดไว้ เลือกว่าจะบล็อกทุกที่ อนุญาตเฉพาะ origin เดียวกัน อนุญาตทุกที่ หรือจำกัดเฉพาะรายชื่อ origin ที่กำหนดเอง
- กรอก origin เองถ้าจำเป็น: ในโหมด custom ให้พิมพ์รายชื่อ origin คั่นด้วย comma เช่น https://app.example.com, https://cdn.example.com จะมีเพียง origin เหล่านั้นที่ใช้ feature ได้
- คัดลอก header หรือ config ของ server: คัดลอก Permissions-Policy header ที่สร้างขึ้น หรือหยิบ snippet สำเร็จรูปของ nginx add_header, Apache Header always set หรือ middleware ของ Express.js ไป deploy บน server ของคุณ
คุณสมบัติหลัก
- browser feature พร้อมใช้ 25 รายการ จัดกลุ่มเป็นสื่อ เซ็นเซอร์ อุปกรณ์ ตัวตน และ UI
- โหมดการอนุญาต 4 แบบต่อ feature: บล็อกทุกที่ เฉพาะ origin เดียวกัน อนุญาตทุกที่ หรือระบุรายชื่อ origin เอง
- preset กดครั้งเดียว: บล็อก feature ที่ sensitive ทั้งหมด หรือ self-only สำหรับ feature ที่ใช้บ่อย
- output พร้อมคัดลอก ทั้ง header ต้นฉบับ, nginx add_header, Apache Header always set และ middleware ของ Express
- รองรับสองภาษา EN/TH ทำงาน offline ได้ ไม่มีข้อมูลออกจากเบราว์เซอร์
คำถามที่พบบ่อย
Permissions-Policy header คืออะไร
Permissions-Policy (เดิมชื่อ Feature-Policy) คือ HTTP header ที่ใช้ควบคุมว่าหน้าเว็บและ iframe ที่ฝังเข้ามา จะใช้ browser feature อย่าง camera, microphone, geolocation, payment, USB และอื่น ๆ ได้หรือไม่ feature ที่ไม่ได้ระบุใน header จะใช้ค่า default ของ browser ซึ่งโดยทั่วไปคืออนุญาต
deny, self และ custom origins ต่างกันอย่างไร
deny (feature=()) บล็อก feature ทุกที่รวมถึงหน้าเว็บของคุณเอง self (feature=(self)) อนุญาตเฉพาะ origin เดียวกับเว็บคุณ custom origins (feature=(https://a.com https://b.com)) อนุญาตสำหรับหน้าเว็บคุณบวก origin ที่ระบุไว้ ส่วนเครื่องหมายดอกจัน (feature=*) คืออนุญาตทุกที่
header นี้มีผลกับ third-party script บนหน้าเว็บไหม
มี policy ที่ตั้งไว้จะมีผลกับ document ของคุณ และโดย default จะสืบทอดไปยัง iframe ที่เป็น origin เดียวกัน ส่วน iframe ข้าม origin ต้องถูกระบุชื่อไว้ใน allowlist จึงจะใช้ feature ที่ถูกควบคุมได้ นี่คือวิธีกัน iframe ที่ไม่น่าเชื่อถือไม่ให้ขอ camera หรือ location
browser รองรับ Permissions-Policy ครบทุกตัวไหม
browser สมัยใหม่ทุกตัว (Chrome, Edge, Firefox, Safari) รองรับ Permissions-Policy หรือ syntax เดิมอย่าง Feature-Policy ที่ deprecated แล้ว browser ที่ไม่รู้จัก directive ใดจะข้ามไปเฉย ๆ การส่ง header นี้จึงปลอดภัยและไม่ทำให้เว็บพัง
เอา header ที่สร้างแล้วไปใช้ที่ไหน
ส่งเป็น HTTP response header จาก server หรือ CDN ของคุณ เครื่องมือนี้มี snippet สำเร็จรูปสำหรับ nginx (add_header), Apache (Header always set) และ Express.js (res.setHeader) ให้คัดลอกไปใช้ เพื่อให้ทุก response มี header นี้ติดไปด้วย