Заголовок Content-Security-Policy (CSP)

Список источников, откуда странице можно грузить скрипты, стили и фреймы. Это единственный заголовок, ограничивающий возможности внедрённого скрипта, — если в источниках скриптов не разрешён unsafe-inline, который отдаёт всё обратно.

• Помощь

Content-Security-Policy (CSP) перечисляет источники, из которых странице разрешено загружать скрипты, стили, изображения, фреймы и прочие ресурсы. Даже если злоумышленник сумеет внедрить HTML, браузер не выполнит скрипт, который политика не разрешает. Это единственный заголовок, напрямую ограничивающий ущерб от межсайтового скриптинга (XSS).

Как SiteScan это оценивает

• «Сильный»: политика применяется, и источники скриптов не разрешают 'unsafe-inline' и 'unsafe-eval'. Nonce и хеши допустимы.
• «Слабый»: политика разрешает инлайн-скрипты или eval либо задана только как Content-Security-Policy-Report-Only — нарушения логируются, но ничего не блокируется.
• «Отсутствует»: политики нет.

Отдельные замечания укажут на отсутствие default-src, object-src, base-uri или frame-ancestors и на источник * для скриптов. Инлайн-стили упоминаются, но оценку не снижают.

С чего начать

Надёжная основа: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self', к ней добавьте внешние хосты, которые страницы действительно используют. Сначала включите политику в режиме Report-Only, неделю посмотрите на отчёты, затем переключите на применяемый заголовок. Инлайн-блоки <script> вынесите в файлы или снабдите nonce. Подробнее — в статье о заголовках безопасности.