AEM Protección del contenido en entornos sin encabezado

AEM AEM Publish Garantizar la integridad y seguridad de los datos al servir contenido sin encabezado de la es crucial cuando se sirve contenido confidencial. AEM Este procedimiento le guiará por la protección del contenido servido por los extremos de la API de GraphQL sin encabezado de.

Las directrices de este tutorial indican requisitos estrictos para que el contenido esté disponible exclusivamente para usuarios o grupos de usuarios específicos. Es imperativo distinguir entre contenido de marketing personalizado y contenido privado, como PII o datos financieros personales, para evitar confusiones y resultados no deseados. Este tutorial aborda la protección del contenido privado.

Al hablar del contenido de marketing, nos referimos a contenido adaptado a usuarios o grupos individuales, que no está pensado para el consumo general. Sin embargo, es esencial comprender que, aunque este contenido puede estar dirigido a determinados usuarios, su exposición fuera del contexto deseado (por ejemplo, mediante la manipulación de solicitudes HTTP) no supone un riesgo de seguridad, legal o de reputación.

Se enfatiza que todo el contenido abordado en este artículo se asume como privado, y solo puede ser visto por usuarios o grupos designados. El contenido de marketing a menudo no requiere protección, sino que su entrega a usuarios específicos puede ser administrado por la aplicación y almacenado en caché para obtener rendimiento.

Este procedimiento no cubre lo siguiente:

Grupos de usuarios

En primer lugar, debemos definir un grupo de usuarios que contenga los usuarios que deben tener acceso al contenido protegido.

AEM

AEM Los grupos de usuarios asignan acceso al contenido sin encabezado de la, incluidos los fragmentos de contenido u otros recursos a los que se hace referencia.

Si se requieren varios niveles de acceso, cree varios grupos de usuarios que se puedan asociar con contenido diferente.

Adición de usuarios a grupos de usuarios

AEM Para conceder acceso a las solicitudes de la API de GraphQL sin encabezado a contenido protegido, puede asociar la solicitud sin encabezado a un usuario que pertenezca a un grupo de usuarios específico. Estos son dos enfoques comunes:

Protección de fragmentos de contenido

AEM La protección de los fragmentos de contenido es esencial para proteger el contenido sin encabezado de la y se logra asociando el contenido con un grupo de usuarios cerrado (CUG). AEM Cuando un usuario realiza una solicitud a la API de GraphQL sin encabezado de, el contenido devuelto se filtra en función de los CUG del usuario.

AEM

Siga estos pasos para lograr esto a través de Grupos de usuarios cerrados (CUG).

Realice estos mismos pasos para todas las carpetas que contienen fragmentos de contenido que deben protegerse, aplicando los CUG correctos a cada carpeta.

AEM Ahora, cuando se realiza una solicitud HTTP al punto de conexión de API de GraphQL sin encabezado de, solo se incluyen en el resultado los fragmentos de contenido accesibles mediante los CUG especificados por el usuario solicitante. Si el usuario no tiene acceso a ningún fragmento de contenido, el resultado estará vacío, aunque devolverá un código de estado HTTP 200.

Protección del contenido referenciado

AEM Los fragmentos de contenido suelen hacer referencia a otro contenido de la, como imágenes. Para proteger este contenido referenciado, aplique CUG a las carpetas de recursos en las que están almacenados los recursos referenciados. AEM Tenga en cuenta que los recursos a los que se hace referencia suelen solicitarse mediante métodos distintos de los de las API de GraphQL sin encabezado de la. Por lo tanto, la forma en que se pasan los tokens de acceso en las solicitudes a estos recursos a los que se hace referencia puede diferir.

Según la arquitectura de contenido, puede ser necesario aplicar CUG a varias carpetas para garantizar que todo el contenido referenciado esté protegido.

Impedir el almacenamiento en caché de contenido protegido

AEM as a Cloud Service almacena en caché las respuestas HTTP de forma predeterminada para mejorar el rendimiento. Sin embargo, esto puede causar problemas al servir contenido protegido. AEM Para evitar el almacenamiento en caché de dicho contenido, quite los encabezados de caché para extremos específicos en la configuración de Apache de la instancia de Publish de la.

Añada la siguiente regla al archivo de configuración de Apache del proyecto de Dispatcher para eliminar los encabezados de caché de puntos finales específicos:

# dispatcher/src/conf.d/available_vhosts/example.vhost

<VirtualHost *:80>
    ...
    # Replace `example` with the name of your GraphQL endpoint's configuration name.
    <LocationMatch "^/graphql/execute.json/example/.*$">
        # Remove cache headers for protected endpoints so they are not cached
        Header unset Cache-Control
        Header unset Surrogate-Control
        Header set Age 0
    </LocationMatch>
    ...
</VirtualHost>

Tenga en cuenta que esto incurrirá en una penalización de rendimiento, ya que Dispatcher o CDN no almacenarán el contenido en caché. Se trata de un equilibrio entre rendimiento y seguridad.

AEM Protección de puntos finales de API de GraphQL sin encabezado

AEM Esta guía no trata la protección de los extremos de API de GraphQL sin encabezado, sino que se centra en proteger el contenido que sirven. Todos los usuarios, incluidos los usuarios anónimos, pueden acceder a los extremos que contienen contenido protegido. Solo se devuelve el contenido accesible por los grupos de usuarios cerrados del usuario. AEM Si no se puede acceder a ningún contenido, la respuesta de la API sin encabezado tendrá un código de estado de respuesta HTTP 200, pero los resultados estarán vacíos. Normalmente, la seguridad del contenido es suficiente, ya que los propios extremos no exponen inherentemente datos confidenciales. AEM Si necesita proteger los puntos de conexión, aplíqueles ACL en el Publish de la forma que le resulte más segura a través de scripts de inicialización del repositorio de Sling (repoinit).