Costruisci una CSP rigorosa

Pensato per sviluppatori e amministratori che devono limitare le risorse caricabili quando preparano o rafforzano una policy.

Definisci una Content-Security-Policy rigorosa scegliendo le origini consentite, poi copia una direttiva coerente da provare sul tuo sito.

Come si usa

Inizia con la sorgente predefinita nella prima riga: funge da fallback per qualsiasi tipo di risorsa che non elenchi separatamente.
Nella riga successiva, elenca le sorgenti autorizzate a servire script, scrivendole una dopo l'altra separate da spazi.
Usa la terza riga per le sorgenti di connessione, cioè le sorgenti che la pagina può raggiungere con richieste di rete.
Costruisci la politica: l'insieme completo delle direttive appare nell'area dei risultati, pronto per essere letto dall'alto verso il basso.
Copia la politica nell'intestazione o nel file di configurazione, poi distribuiscila in modalità di sola segnalazione prima di applicarla.

Esempio

Il campione consente un dominio principale come sorgente predefinita, ripete quel dominio più un dominio di distribuzione per gli script e mantiene un dominio separato per le connessioni. Dopo la costruzione, controlla che l'area dei risultati contenga una politica coerente invece di diverse direttive sovrapposte.

Input

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Risultato

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Limiti e formati

La politica generata imposta regole ma non testa mai il tuo sito, quindi devi confermare che tutte le risorse legittime continuino a caricarsi.
Una politica troppo restrittiva può rompere funzionalità senza alcun errore visibile, ed è per questo che si fa prima un passaggio in modalità di sola segnalazione.
Le sorgenti devono essere coerenti tra loro: un dominio usato per gli script ma assente dalla sorgente predefinita richiede una voce esplicita.
Moduli, download e contenuti incorporati seguono altre regole, quindi questa politica non copre l'intero comportamento di una pagina.

Dove avviene il trattamento

La politica viene assemblata nel tuo browser. I domini che digiti restano sul tuo dispositivo, non viene trasmesso nulla e non rimane copia dopo la chiusura della scheda, il che rende pratico redigere prima una configurazione interna.

Domande frequenti

Qual è la differenza tra la sorgente predefinita e le sorgenti script?

La sorgente predefinita è il fallback per i tipi di risorsa che non hai elencato singolarmente, mentre le sorgenti script governano solo il codice eseguibile. Un dominio autorizzato come sorgente script non è quindi automaticamente consentito per stili, immagini o connessioni.

Perché una pagina si rompe dopo che pubblico la politica?

Di solito manca una sorgente legittima: un foglio di stile esterno, un font, un frame incorporato o un servizio di analisi. Elenca ogni risorsa che la pagina chiama davvero, aggiungi i domini mancanti, ricostruisci la politica e pubblicala di nuovo.

Posso riutilizzare la stessa politica su più siti?

Il testo si trasferisce facilmente, ma ogni sito richiama le proprie risorse. Considera il testo un punto di partenza, poi adatta i domini per ogni progetto, così non blocchi qualcosa da cui la pagina dipende.