Verifica all’origine

Parametri di connessioneCopia il link alla sezione

Copia issuer, URL delle chiavi pubbliche e audience dell’applicazione da Zero Trust > Origin verification. Conserva questi valori nella configurazione attendibile dell’applicazione.

Controlli obbligatoriCopia il link alla sezione

1. Verifica la firma RS256 con le chiavi pubbliche configurate.
2. Verifica issuer, audience, scadenza e istante di inizio validità.
3. Confronta host con l’hostname pubblico configurato.
4. Confronta method e origin_uri con la richiesta ricevuta dall’origine.
5. Leggi i dati di identità solo dopo la verifica.

Rifiuta le richieste prive di un’attestazione valida. I dati email richiedono email_verified: true. Usa l’identificativo immutabile del soggetto come identificativo dell’account applicativo.

Esempio applicativoCopia il link alla sezione

Scarica il verificatore Go e il relativo file del modulo in una nuova directory. Esegui go mod tidy in quella directory.

LOCLIX_ACCESS_ISSUER=https://private.example.com/_loclix/access/ \
LOCLIX_ACCESS_AUDIENCE=APPLICATION-ID \
go run .

Esegui l’esempio dietro un reverse proxy HTTPS con un certificato attendibile. Il programma ascolta su localhost. Applica la stessa verifica a ogni percorso protetto dell’applicazione. Mantieni i controlli di autorizzazione e le protezioni contro il cross-site request forgery della tua applicazione.

Protezione della connessioneCopia il link alla sezione

Le attestazioni scadono dopo 60 secondi e possono essere riutilizzate per la stessa richiesta entro tale intervallo. Oltre a verificare il token, limita l’accesso diretto all’origine. Usa HTTPS con verifica del certificato e un firewall o l’autenticazione delle connessioni da Loclix.

Riferimento di header e claim