Désactivation de la requête de remplacement de la méthode HTTP

Certaines infrastructures Web permettent de remplacer la méthode HTTP dans la requête en fournissant des en-têtes de requêtes HTTP spécifiques, telles que X-HTTP-Method, XHTTP-Method-Override, et X-Method-Override.

L'autorisation dans Orchestrator s'effectue, par défaut, après l'utilisation des en-têtes HTTP. Par conséquent, le tunneling des verbes ne doit pas vous inquiéter.

Pour obtenir une couche de sécurité supplémentaire, toutefois, vous pouvez désactiver l'en-tête X-HTTP-METHOD-OVERRIDE dans le fichier web.config de votre instance d'Orchestrator, en définissant sa limite de taille sur 0.

Par exemple, vous pouvez ajouter les éléments suivants dans le fichier de configuration :

<security>
     <requestFiltering>
          <requestLimits>
              <headerLimits>
                    <add header="X-HTTP-METHOD-OVERRIDE" sizeLimit="0" />
               </headerLimits>
           </requestLimits>
     </requestFiltering>
</security>