Bezbednost i dozvoljeni sajtovi

Povezani sajtovi

Firma u panelu, u odeljku Povezivanje sajta, dodaje sajtove na kojima prikazuje zakazivanje i sadržaj. Za svaki sajt panel daje gotov kod.

• Čitanje je javno. Objavljeni sadržaj i radovi su javni podaci.
• Zakazivanje sa nepovezanog sajta se odbija sa 403 ORIGIN_NOT_ALLOWED. Ovo sprečava neželjenu ugradnju, ali nije zaštita pristupa.
• Okvir za zakazivanje pre pokretanja proverava sajt na kom je otvoren (embed-check). Na nepovezanom sajtu se ne pokreće. Link uvek radi.

Kako se upisuje domen

Upišite	Ne upisujte
https://vasbiznis.rs	vasbiznis.rs (bez https://)
https://www.vasbiznis.rs	https://vasbiznis.rs/zakazi (sa putanjom)
https://zakazi.vasbiznis.rs	https://vasbiznis.rs/ (sa kosom crtom na kraju)

Adrese sa www i bez www su za pregledač dva različita sajta. Ako sajt radi na obe, dodajte obe.

Sve adrese moraju počinjati sa https://. Jedini izuzetak je proba na sopstvenom računaru: dozvoljeni su http://localhost:port i http://127.0.0.1:port, na primer http://localhost:4321. Uklonite ih kad sajt ode na internet.

CORS

• Važi za public/v1/* i api/*, bez kolačića i prijave.
• Dozvoljeni su panel, stranica za zakazivanje i povezani sajtovi firme.
• Dozvoljena zaglavlja zahteva: Accept, Content-Type, Authorization, If-None-Match.
• Vidljiva zaglavlja odgovora: ETag, Date, Age, X-Source-Validated-At, X-Public-Cache.

Content Security Policy na vašem sajtu

Ako vaš sajt koristi CSP, dozvolite:

script-src  https://zakazi.tempact.app
style-src   https://zakazi.tempact.app
frame-src   https://zakazi.tempact.app
connect-src https://app.tempact.app
img-src     https://app.tempact.app

Zaglavlja servera

HSTS na godinu dana sa poddomenima, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin i bez zaglavlja Server.

Slike u sekcijama

Prihvataju se samo https: adrese ili sopstvene adrese sistema (/public/v1/media/).