Configuración de HTTP

Resumen de las opciones de configuración del HTTP de Nette.

Si no está utilizando todo el framework, sino sólo esta librería, lea cómo cargar la configuración.

Cabeceras HTTP

http:
	# cabeceras que se envían con cada solicitud
	headers:
		X-Powered-By: MyCMS
		X-Content-Type-Options: nosniff
		X-XSS-Protection: '1; mode=block'

	# afecta a la cabecera X-Frame-Options
	frames: ...      # (string|bool) defaults to 'SAMEORIGIN'

Por razones de seguridad, el framework envía una cabecera X-Frame-Options: SAMEORIGIN, que dice que una página puede mostrarse dentro de otra (en el elemento <iframe>) sólo si está en el mismo dominio. Esto puede resultar indeseado en determinadas situaciones (por ejemplo, si se está desarrollando una aplicación para Facebook), por lo que el comportamiento puede modificarse configurando los marcos frames: http://allowed-host.com.

Política de seguridad de contenidos

Las cabeceras Content-Security-Policy (en lo sucesivo CSP) pueden ensamblarse fácilmente, su descripción puede encontrarse en la descripción CSP. Las directivas CSP (como script-src) pueden escribirse como cadenas de acuerdo con la especificación o como matrices de valores para una mejor legibilidad. Entonces no es necesario escribir comillas alrededor de palabras clave como 'self'. Nette también generará automáticamente un valor de nonce, por lo que 'nonce-y4PopTLM==' se enviará en la cabecera.

http:
	# Content Security Policy
	csp:
		# cadena según especificación CSP
		default-src: "'self' https://example.com"

		# array of values
		script-src:
			- nonce
			- strict-dynamic
			- self
			- https://example.com

		# bool en el caso de los interruptores
		upgrade-insecure-requests: true
		block-all-mixed-content: false

Utilice <script n:nonce>...</script> en las plantillas y el valor nonce se rellenará automáticamente. Hacer sitios web seguros en Nette es realmente fácil.

Del mismo modo, se pueden añadir las cabeceras Content-Security-Policy-Report-Only (que se puede utilizar en paralelo con CSP) y Feature Policy:

http:
	# Content Security Policy Report-Only
	cspReportOnly:
		default-src: self
		report-uri: 'https://my-report-uri-endpoint'

	# Feature Policy
	featurePolicy:
		unsized-media: none
		geolocation:
			- self
			- https://example.com

Cookie HTTP

Puede cambiar los valores por defecto de algunos parámetros de los métodos Nette\Http\Response::setCookie() y session.

http:
	# cookie scope by path
	cookiePath: ...          # (string) por defecto '/'

	# qué hosts pueden recibir la cookie
	cookieDomain: 'example.com' # (string|dominio) por defecto unset

	# ¿enviar cookies sólo a través de HTTPS?
	cookieSecure: ...        # (bool|auto) por defecto auto

	# deshabilita el envío de la cookie que Nette usa como protección contra CSRF
	disableNetteCookie: ...  # (bool) por defecto false

La opción cookieDomain determina qué dominios (orígenes) pueden aceptar cookies. Si no se especifica, la cookie es aceptada por el mismo (sub)dominio que la establece, excluyendo sus subdominios. Si se especifica cookieDomain, también se incluyen los subdominios. Por lo tanto, especificar cookieDomain es menos restrictivo que omitirlo.

Por ejemplo, si se establece cookieDomain: nette.org, la cookie también está disponible en todos los subdominios como doc.nette.org. Esto también se puede conseguir con el valor especial domain, es decir, cookieDomain: domain.

El valor por defecto de cookieSecure es auto, lo que significa que si el sitio web funciona con HTTPS, las cookies se enviarán con la bandera Secure y, por lo tanto, sólo estarán disponibles a través de HTTPS.

Proxy HTTP

Si el sitio se ejecuta detrás de un proxy HTTP, introduzca la dirección IP del proxy para que la detección de conexiones HTTPS funcione correctamente, así como la dirección IP del cliente. Es decir, para que Nette\Http\Request::getRemoteAddress() y isSecured() devuelvan los valores correctos y se generen enlaces con el protocolo https: en las plantillas.

http:
	# dirección IP, rango (ej. 127.0.0.1/8) o array de estos valores
	proxy: 127.0.0.1   # (string|string[]) por defecto ninguno

Sesión

Configuración básica de las sesiones:

session:
	# ¿muestra el panel de sesión en Tracy Bar?
	depurador: ...        # (bool) por defecto false

	# tiempo de inactividad tras el cual expira la sesión
	expiración: 14 días   # (string) por defecto '3 horas'

	# ¿cuándo iniciar la sesión?
	autoStart: ...        # (smart|always|never) por defecto 'smart

	# handler, servicio que implementa la interfaz SessionHandlerInterface
	handler: @handlerService

La opción autoStart controla cuándo iniciar la sesión. El valor always significa que la sesión se inicia siempre al arrancar la aplicación. El valor smart significa que la sesión se iniciará al arrancar la aplicación sólo si ya existe, o en el momento en que queramos leer de ella o escribir en ella. Por último, el valor never desactiva el inicio automático de la sesión.

También se pueden establecer todas las directivas de sesión de PHP (en formato camelCase) y también readAndClose. Ejemplo:

session:
	# 'session.name' written as 'name'
	name: MYID

	# 'session.save_path' written as 'savePath'
	savePath: "%tempDir%/sessions"

Cookie de sesión

La cookie de sesión se envía con los mismos parámetros que otras cookies, pero puede cambiarlos:

session:
	# qué hosts pueden recibir la cookie
	cookieDomain: 'example.com' # (string|dominio)

	# restricciones al acceder a la solicitud de origen cruzado
	cookieSamesite: None        # (Strict|Lax|None) por defecto Lax

La opción cookieSamesite afecta a si la cookie se envía con solicitudes de origen cruzado, lo que proporciona cierta protección contra ataques de falsificación de solicitud de sitios cruz ados.

Servicios DI

Estos servicios se añaden al contenedor DI: