Bouw een strikte CSP-richtlijn

Voor ontwikkelaars en beheerders die laadbare bronnen moeten beperken tijdens het opstellen of aanscherpen van beleid.

Leg toegestane bronnen vast in een strikte Content-Security-Policy en kopieer daarna een samenhangende richtlijn om op de site te testen.

Hoe te gebruiken

Begin met de standaardbron op de eerste regel: die fungeert als terugvaloptie voor elk resourcetype dat u niet apart vermeldt.
Vermeld op de volgende regel de oorsprongen die scripts mogen leveren, en schrijf ze na elkaar gescheiden door spaties.
Gebruik de derde regel voor verbindingsbronnen, dat wil zeggen de oorsprongen die de pagina met netwerkverzoeken mag bereiken.
Bouw het beleid: de volledige set richtlijnen verschijnt in het resultaatgebied, klaar om van boven naar beneden te worden gelezen.
Kopieer het beleid naar uw header of configuratiebestand en voer het daarna uit in de modus alleen rapporteren voordat u het afdwingt.

Voorbeeld

Het voorbeeld staat een hoofddomein toe als standaardbron, herhaalt dat domein plus een leveringsdomein voor scripts, en houdt een apart domein voor verbindingen. Controleer na het bouwen dat het resultaatgebied één samenhangend beleid bevat in plaats van meerdere overlappende richtlijnen.

Invoer

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Resultaat

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Limieten en formaten

Het gegenereerde beleid stelt regels op maar test uw site nooit, dus u moet bevestigen dat elke legitieme bron nog steeds wordt geladen.
Een te streng beleid kan functies breken zonder zichtbare fout, daarom komt eerst een ronde in de modus alleen rapporteren.
Bronnen moeten op elkaar aansluiten: een domein dat voor scripts wordt gebruikt maar ontbreekt in de standaardbron heeft een expliciete vermelding nodig.
Formulieren, downloads en ingesloten inhoud volgen andere regels, dus dit beleid dekt niet het volledige gedrag van een pagina.

Waar de verwerking gebeurt

Het beleid wordt in uw browser samengesteld. De domeinen die u typt blijven op uw apparaat, er wordt niets verzonden en er blijft geen kopie achter nadat u het tabblad hebt gesloten, wat het praktisch maakt om eerst een interne configuratie op te stellen.

Veelgestelde vragen

Wat is het verschil tussen de standaardbron en scriptbronnen?

De standaardbron is de terugvaloptie voor resourcetypen die u niet afzonderlijk hebt vermeld, terwijl scriptbronnen alleen uitvoerbare code regelen. Een domein dat als scriptbron is toegestaan, is daarom niet automatisch toegestaan voor stijlen, afbeeldingen of verbindingen.

Waarom breekt een pagina af nadat ik het beleid heb gepubliceerd?

Meestal ontbreekt een legitieme oorsprong: een externe stylesheet, een lettertype, een ingesloten frame of een analysedienst. Vermeld elke bron die de pagina daadwerkelijk aanroept, voeg de ontbrekende domeinen toe, bouw het beleid opnieuw en publiceer het opnieuw.

Kan ik hetzelfde beleid op meerdere sites hergebruiken?

De formulering is gemakkelijk over te nemen, maar elke site haalt zijn eigen bronnen binnen. Behandel de tekst als uitgangspunt en pas de domeinen per project aan, zodat u niet iets blokkeert waarvan de pagina afhankelijk is.