Zbuduj restrykcyjną politykę CSP

Architektom i deweloperom przyda się to podczas ograniczania źródeł skryptów, stylów oraz zasobów przed testem konfiguracji.

Ułóż restrykcyjną politykę Content-Security-Policy z wybranych źródeł i dyrektyw, a następnie skopiuj gotowy zapis do wdrożenia.

Jak używać

Zacznij od źródła domyślnego w pierwszym wierszu: działa ono jako rozwiązanie zapasowe dla każdego typu zasobu, którego nie wymieniasz osobno.
W następnym wierszu wymień źródła, którym wolno dostarczać skrypty, zapisując je jedno po drugim, oddzielone spacjami.
Trzeci wiersz przeznacz na źródła połączeń, czyli źródła, do których strona może sięgać za pomocą żądań sieciowych.
Zbuduj politykę: pełny zestaw dyrektyw pojawi się w obszarze wyników, gotowy do czytania od góry do dołu.
Skopiuj politykę do nagłówka lub pliku konfiguracyjnego, a następnie wdróż ją w trybie tylko raportowania, zanim zaczniesz ją egzekwować.

Przykład

W przykładzie jako źródło domyślne dopuszczono domenę główną, powtórzono tę domenę oraz domenę dostarczania dla skryptów, a dla połączeń zachowano osobną domenę. Po zbudowaniu sprawdź, czy obszar wyników zawiera jedną spójną politykę, a nie kilka nakładających się dyrektyw.

Dane wejściowe

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Wynik

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Ograniczenia i formaty

Wygenerowana polityka ustawia reguły, ale nigdy nie testuje Twojej witryny, więc musisz potwierdzić, że każdy legalny zasób nadal się ładuje.
Zbyt rygorystyczna polityka może zepsuć funkcje bez widocznego błędu, dlatego najpierw wykonuje się przebieg w trybie tylko raportowania.
Źródła muszą być ze sobą zgodne: domena używana do skryptów, ale nieobecna w źródle domyślnym, wymaga jawnego wpisu.
Formularze, pobierane pliki i treści osadzone podlegają innym regułom, więc ta polityka nie obejmuje całego zachowania strony.

Gdzie odbywa się przetwarzanie

Polityka jest składana w Twojej przeglądarce. Wpisane domeny pozostają na Twoim urządzeniu, nic nie jest przesyłane i żadna kopia nie pozostaje po zamknięciu karty, co pozwala wygodnie przygotować najpierw wewnętrzną konfigurację.

Częste pytania

Jaka jest różnica między źródłem domyślnym a źródłami skryptów?

Źródło domyślne jest rozwiązaniem zapasowym dla typów zasobów, których nie wymieniono osobno, natomiast źródła skryptów regulują wyłącznie kod wykonywalny. Domena dozwolona jako źródło skryptów nie jest więc automatycznie dozwolona dla stylów, obrazów ani połączeń.

Dlaczego strona psuje się po opublikowaniu polityki?

Zwykle brakuje legalnego źródła: zewnętrznego arkusza stylów, czcionki, osadzonej ramki lub usługi analitycznej. Wymień każdy zasób, do którego strona faktycznie się odwołuje, dodaj brakujące domeny, zbuduj politykę ponownie i opublikuj ją jeszcze raz.

Czy mogę użyć tej samej polityki na kilku witrynach?

Treść łatwo przenieść, ale każda witryna pobiera własne zasoby. Potraktuj tekst jako punkt wyjścia, a następnie dostosuj domeny dla każdego projektu, aby nie zablokować czegoś, od czego zależy strona.