Strikte Content-Security-Policy erstellen

Für Webentwickler, die zulässige Ressourcen einer neuen Seite festlegen oder eine bestehende Konfiguration härten.

Bauen Sie aus Ihren erlaubten Quellen eine strikte Content-Security-Policy und erhalten Sie eine stimmige Direktive zur Prüfung und Einbindung.

Bedienung

Beginnen Sie mit der Standardquelle in der ersten Zeile: Sie dient als Fallback für jede Ressourcenart, die Sie nicht separat auflisten.
Listen Sie in der nächsten Zeile die Ursprünge auf, die Skripte bereitstellen dürfen, und schreiben Sie sie nacheinander durch Leerzeichen getrennt.
Verwenden Sie die dritte Zeile für Verbindungsquellen, also die Ursprünge, die die Seite mit Netzwerkanfragen erreichen darf.
Erstellen Sie die Richtlinie: Der vollständige Satz von Anweisungen erscheint im Ergebnisbereich, bereit, von oben nach unten gelesen zu werden.
Kopieren Sie die Richtlinie in Ihren Header oder Ihre Konfigurationsdatei und führen Sie sie dann im Nur-Berichts-Modus ein, bevor Sie sie erzwingen.

Beispiel

Das Beispiel erlaubt eine Hauptdomain als Standardquelle, wiederholt diese Domain plus eine Auslieferungsdomain für Skripte und behält eine separate Domain für Verbindungen. Prüfen Sie nach dem Erstellen, dass der Ergebnisbereich eine zusammenhängende Richtlinie enthält und nicht mehrere überlappende Anweisungen.

Eingabe

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Ergebnis

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Grenzen und Formate

Die erzeugte Richtlinie legt Regeln fest, testet aber niemals Ihre Website, daher müssen Sie bestätigen, dass jede legitime Ressource weiterhin geladen wird.
Eine zu strenge Richtlinie kann Funktionen ohne sichtbaren Fehler zerstören, deshalb kommt zuerst ein Durchlauf im Nur-Berichts-Modus.
Die Quellen müssen zueinander passen: Eine Domain, die für Skripte verwendet wird, aber in der Standardquelle fehlt, benötigt einen ausdrücklichen Eintrag.
Formulare, Downloads und eingebettete Inhalte folgen anderen Regeln, daher deckt diese Richtlinie nicht das gesamte Verhalten einer Seite ab.

Wo die Verarbeitung stattfindet

Die Richtlinie wird in Ihrem Browser zusammengesetzt. Die von Ihnen eingegebenen Domains bleiben auf Ihrem Gerät, nichts wird übertragen und keine Kopie bleibt zurück, nachdem Sie den Tab geschlossen haben, was es praktisch macht, zuerst eine interne Konfiguration zu entwerfen.

Häufige Fragen

Was ist der Unterschied zwischen der Standardquelle und Skriptquellen?

Die Standardquelle ist der Fallback für Ressourcenarten, die Sie nicht einzeln aufgelistet haben, während Skriptquellen nur ausführbaren Code regeln. Eine Domain, die als Skriptquelle erlaubt ist, ist daher nicht automatisch für Stile, Bilder oder Verbindungen erlaubt.

Warum bricht eine Seite zusammen, nachdem ich die Richtlinie veröffentlicht habe?

Meist fehlt ein legitimer Ursprung: ein externes Stylesheet, eine Schriftart, ein eingebetteter Frame oder ein Analysedienst. Listen Sie jede Ressource auf, die die Seite tatsächlich aufruft, fügen Sie die fehlenden Domains hinzu, erstellen Sie die Richtlinie neu und veröffentlichen Sie sie erneut.

Kann ich dieselbe Richtlinie auf mehreren Websites wiederverwenden?

Der Wortlaut lässt sich leicht übertragen, aber jede Website lädt ihre eigenen Ressourcen. Behandeln Sie den Text als Ausgangspunkt und passen Sie die Domains für jedes Projekt an, damit Sie nicht etwas blockieren, wovon die Seite abhängt.