信任、安全與合規

HSTS 預載

Strict-Transport-Security 連同 preload 指令。瀏覽器只會以 HTTPS 連接 KiwiBee。

跨來源政策

跨來源政策限制存取，同時允許登入彈出視窗。

Permissions Policy（權限政策）

預設限制瀏覽器權限。部分課堂工具可要求麥克風存取。

防點擊劫持

X-Frame-Options: SAMEORIGIN 防止外部網站把 KiwiBee 嵌入 iframe。

MIME 類型鎖定

X-Content-Type-Options: nosniff 阻止瀏覽器自行猜測內容類型。

Referrer 政策

Referrer-Policy: strict-origin-when-cross-origin 減少向第三方網域洩漏的資料。

Content Security Policy（內容安全政策）

內容安全政策限制資源來源；獲准的內嵌腳本和樣式仍可運行。