Construiește o politică CSP strictă

Arhitecții și dezvoltatorii îl pot folosi când limitează sursele pentru scripturi, stiluri și resurse înainte să testeze configurația.

Configurează o politică Content-Security-Policy strictă din sursele și directivele alese, apoi copiază rezultatul gata de testare.

Cum se folosește

Începe cu sursa implicită pe prima linie: aceasta acționează ca soluție de rezervă pentru orice tip de resursă pe care nu îl enumeri separat.
Pe linia următoare, enumeră originile permise să servească scripturi, scriindu-le una după alta, separate prin spații.
Folosește a treia linie pentru sursele de conexiune, adică originile pe care pagina are voie să le atingă prin cereri de rețea.
Construiește politica: setul complet de directive apare în zona de rezultat, gata să fie citit de sus în jos.
Copiază politica în antet sau în fișierul de configurare, apoi implementeaz-o în modul doar raportare înainte de a o impune.

Exemplu

Eșantionul permite un domeniu principal ca sursă implicită, repetă acel domeniu plus un domeniu de livrare pentru scripturi și păstrează un domeniu separat pentru conexiuni. După construire, verifică dacă zona de rezultat conține o singură politică coerentă, nu mai multe directive suprapuse.

Date de intrare

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Rezultat

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Limite și formate

Politica generată stabilește reguli, dar nu testează niciodată site-ul, așa că trebuie să confirmi că fiecare resursă legitimă se încarcă în continuare.
O politică prea strictă poate strica funcționalități fără nicio eroare vizibilă, motiv pentru care o trecere în modul doar raportare vine mai întâi.
Sursele trebuie să se alinieze între ele: un domeniu folosit pentru scripturi, dar absent din sursa implicită, are nevoie de o intrare explicită.
Formularele, descărcările și conținutul încorporat urmează alte reguli, așa că această politică nu acoperă întregul comportament al unei pagini.

Unde are loc procesarea

Politica este asamblată în browserul tău. Domeniile pe care le tastezi rămân pe dispozitivul tău, nimic nu este transmis și nicio copie nu rămâne după închiderea filei, ceea ce face practică redactarea mai întâi a unei configurații interne.

Întrebări frecvente

Care este diferența dintre sursa implicită și sursele de scripturi?

Sursa implicită este soluția de rezervă pentru tipurile de resurse pe care nu le-ai enumerat individual, în timp ce sursele de scripturi guvernează doar codul executabil. Un domeniu permis ca sursă de scripturi nu este, prin urmare, permis automat pentru stiluri, imagini sau conexiuni.

De ce se strică o pagină după ce public politica?

De obicei lipsește o origine legitimă: o foaie de stil externă, un font, un cadru încorporat sau un serviciu de analiză. Enumeră fiecare resursă pe care pagina o solicită efectiv, adaugă domeniile lipsă, reconstruiește politica și publică-o din nou.

Pot reutiliza aceeași politică pe mai multe site-uri?

Textul se preia ușor, dar fiecare site atrage propriile resurse. Tratează textul ca punct de plecare, apoi ajustează domeniile pentru fiecare proiect, ca să nu blochezi ceva de care depinde pagina.