iOS
App Transport Security (ATS)

Paramètres

Remarques

Charger tout le contenu HTTP

Apple a introduit ATS avec iOS 9 comme nouvelle fonction de sécurité pour améliorer la confidentialité et la sécurité entre les applications et les services Web. ATS par défaut échoue toutes les requêtes non HTTPS. Bien que cela puisse être vraiment intéressant pour les environnements de production, cela peut être gênant lors des tests.

ATS est configuré dans le fichier Info.plist la cible avec le dictionnaire NSAppTransportSecurity ( App Transport Security Settings dans l'éditeur Xcode Info.plist). Pour autoriser tout le contenu HTTP, ajoutez le booléen Allow Arbitrary Loads ( NSAllowsArbitraryLoads ) et réglez-le sur YES . Ceci n'est pas recommandé pour les applications de production et si un contenu HTTP est requis, il est recommandé de l'activer de manière sélective.

Charger de manière sélective le contenu HTTP

Semblable à l'activation de tout le contenu HTTP, toute la configuration se produit sous les App Transport Security Settings . Ajoutez le dictionnaire des Exception Domains ( NSExceptionDomains ) aux paramètres ATS de niveau supérieur.

Pour chaque domaine, ajoutez un élément de dictionnaire aux domaines d'exception, où la clé correspond au domaine en question. Définissez NSExceptionAllowsInsecureHTTPLoads sur YES pour désactiver la configuration HTTPS requise pour ce domaine.

Les points d'extrémité nécessitent SSL

Introduit dans iOS 9, tous les points de terminaison doivent respecter la spécification HTTPS.
Tout ordinateur d'extrémité n'utilisant pas SSL échouera avec un avertissement dans le journal de la console. Pour votre application, il apparaîtra que la connexion Internet a échoué.

Pour configurer des exceptions: Placez les éléments suivants dans votre fichier Info.plist:

1. Autoriser un domaine particulier (testdomain.com) uniquement :

<key>NSAppTransportSecurity</key>
<dict>
<key>NSExceptionDomains</key>
<dict>
    <key>testdomain.com</key>
    <dict>
        <key>NSIncludesSubdomains</key>
        <true/>
        <key>NSExceptionAllowsInsecureHTTPLoads</key>
        <true/>
    </dict>
</dict>

La clé qui autorise un tel comportement est NSExceptionAllowsInsecureHTTPLoads . Dans ce cas, l'application autorisera la connexion HTTP au domaine mentionné (testdomain.com) uniquement et bloquera toutes les autres connexions HTTP.

La clé NSIncludesSubdomains spécifie que tous les sous - domaines du domaine mentionné (testdomain.com) doivent également être autorisés.

2. Autoriser n'importe quel domaine:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Dans ce cas, l'application autorisera la connexion HTTP à n'importe quel domaine. À compter du 1er janvier 2017, l'utilisation de cet indicateur entraînera une révision approfondie de l'App Store et les développeurs de l'application devront expliquer pourquoi ils doivent utiliser cette exception en premier lieu. Les explications possibles comprennent:

• Une application qui charge un contenu multimédia crypté ne contenant aucune information personnalisée.
• Connexions aux périphériques ne pouvant pas être mis à niveau pour utiliser des connexions sécurisées.
• Connexion à un serveur géré par une autre entité et ne prenant pas en charge les connexions sécurisées.