Content-Security-Policy-Header (CSP)

Die Liste der Quellen, aus denen eine Seite Skripte, Stile und Frames laden darf. Es ist der eine Header, der einschränkt, was ein eingeschleustes Skript anrichten kann — sofern seine Skriptquellen nicht unsafe-inline erlauben und genau das zurückgeben.

• Hilfe

Content-Security-Policy (CSP) legt fest, aus welchen Quellen eine Seite Skripte, Styles, Bilder, Frames und andere Ressourcen laden darf. Selbst wenn ein Angreifer HTML einschleust, führt der Browser kein Skript aus, das die Richtlinie nicht erlaubt. Es ist der einzige Header, der den Schaden durch Cross-Site-Scripting (XSS) direkt begrenzt.

So bewertet SiteScan

• „Stark“: eine durchgesetzte Richtlinie, deren Skriptquellen weder 'unsafe-inline' noch 'unsafe-eval' erlauben. Nonces und Hashes sind in Ordnung.
• „Schwach“: Die Richtlinie erlaubt Inline-Skripte oder eval oder ist nur als Content-Security-Policy-Report-Only gesetzt – Verstöße werden gemeldet, aber nichts blockiert.
• „Fehlt“: keine Richtlinie.

Eigene Hinweise melden fehlende default-src, object-src, base-uri oder frame-ancestors sowie * als Skriptquelle. Inline-Styles werden erwähnt, senken die Note aber nicht.

So fangen Sie an

Eine solide Basis: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self', ergänzt um die externen Hosts, die Ihre Seiten wirklich nutzen. Setzen Sie sie zuerst als Report-Only ein, werten Sie eine Woche lang die Berichte aus und schalten Sie dann auf den durchsetzenden Header um. Inline-<script>-Blöcke lagern Sie in Dateien aus oder versehen sie mit Nonces. Mehr im Artikel über Security-Header.