アドビ製品を使用していない場合、X-Permitted-Cross-Domain-PoliciesヘッダーはWebサイトにメリットがありますか？
OWASPは、X-Permitted-Cross-Domain-PoliciesセキュリティヘッダーがWebクライアントに " ドメイン間でデータを処理するためのアクセス許可 "を与えると述べています。具体的には、AdobeのFlash PlayerとAcrobat PDF Readerがこのヘッダーを使用し、他のWebクライアントが可能性のある提供される参照リンクは、アドビ製品のメリットを強化しますが、このセキュリティヘッダーが有益である他の状況を提供しません。
FlashまたはPDFを使用していない限り、このヘッダーのメリットはありません。ですから、アドビ製品を使用していない場合、X-Permitted-Cross-Domain-Policiesヘッダーは私のWebサイトにメリットがありますか？
あなたはそれを間違った方法で持っています。 _Access-Control-Allow-Origin_と同様に、他のシステム（この場合は特にWebでホストされているFlashとPDF content）をallowすることが目的です）ドメインにアクセスします。 「リモートドメイン」はあなた、「ソースドメイン」は私たちが守っている人です。
クライアントが特定のソースドメインでホストされているコンテンツをリクエストし、そのコンテンツが自身のドメイン以外のドメインに向けられたリクエストを行う場合、リモートドメインはソースドメインへのアクセスを許可するクロスドメインポリシーファイルをホストし、クライアントがトランザクション。通常、メタポリシーはマスターポリシーファイルで宣言されますが、ルートディレクトリに書き込めない場合は、X-Permitted-Cross-Domain-Policies HTTP応答ヘッダーを使用してメタポリシーを宣言することもできます。
デフォルトでは、ブラウザがクロスドメインXMLHttpRequestをブロックするのと同じように、すべてのクロスドメインリクエストがアドビのソフトウェアによってブロックされます。
不要なポリシーファイルが、偶然または悪意によりサイトに侵入する可能性があります。この場合に_X-Permitted-Cross-Domain-Policies_を追加する目的は、クライアントが不要な要求を引き続きブロックできるようにそれをオーバーライドすることです。
Microsoft Silverlightは別のポリシーファイル形式を使用しますが、このヘッダーも使用する場合があります。
ユーザーがファイルをアップロードできるようにするか、侵入者が別の欠陥を使用してサーバーにファイルを取得することを懸念している場合[〜＃〜]および[〜＃〜]なりすまそうとしている可能性のある他のウェブサイトを介してドメインにアクセスしないでください。そうすれば、_X-Permitted-Cross-Domain-Policies_はセキュリティ上の利点を提供します。最近のソフトウェアのユーザーはまず最初に、FlashまたはアクティブなPDFコンテンツを許可するようにだまされる必要があるため、この攻撃はそれほど重要ではありません。
あなたのウェブサイトが通常のウェブサイトであり、アクセスにログインを必要としないものであれば、それは必要ありません。
プロジェクトでFlashとpdfを使用していない場合、そのヘッダーは必要ありません。
参照：
https://wiki.mozilla.org/Security/Guidelines/Web_Security
https://www.perpetual-beta.org/weblog/security-headers.html#rule-8470-10-strict-transport-security
はい、同意しました。このヘッダーはFlashプレーヤー用に作成されており、PDF必ずしもアドビ製品の他のFlashプレーヤーが必要とするわけではありません。Flashプレーヤーまたはpdfファイルの配布にサイトを使用していない場合は、このヘッダーは必要ありません。