Nagłówek Content-Security-Policy (CSP)

Lista źródeł, z których strona może ładować skrypty, style i ramki. To jedyny nagłówek ograniczający możliwości wstrzykniętego skryptu, o ile jego źródła skryptów nie dopuszczają unsafe-inline, które oddaje je z powrotem.

• Pomoc

Content-Security-Policy (CSP) wymienia źródła, z których strona może ładować skrypty, style, obrazy, ramki i inne zasoby. Nawet jeśli atakujący zdoła wstrzyknąć HTML, przeglądarka nie uruchomi skryptu, na który polityka nie pozwala. To jedyny nagłówek, który bezpośrednio ogranicza skutki cross-site scriptingu (XSS).

Jak ocenia to SiteScan

• „Mocny”: polityka jest egzekwowana, a źródła skryptów nie dopuszczają 'unsafe-inline' ani 'unsafe-eval'. Nonce i hashe są w porządku.
• „Słaby”: polityka dopuszcza skrypty inline lub eval albo jest ustawiona tylko jako Content-Security-Policy-Report-Only — naruszenia są logowane, ale nic nie jest blokowane.
• „Brak”: polityki nie ma.

Osobne uwagi wskażą brak default-src, object-src, base-uri lub frame-ancestors oraz źródło * dla skryptów. Style inline są odnotowywane, ale nie obniżają oceny.

Od czego zacząć

Solidna podstawa: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self', do której dopisz zewnętrzne hosty faktycznie używane przez strony. Najpierw wdróż ją jako Report-Only, przez tydzień obserwuj raporty, potem przełącz na nagłówek egzekwujący. Bloki <script> inline przenieś do plików lub dodaj im nonce. Więcej w artykule o nagłówkach bezpieczeństwa.