Bygg en strikt CSP-policy

Arkitekter och utvecklare kan använda resultatet när de begränsar källor för skript, stilar och resurser före ett konfigurationstest.

Utforma en strikt Content-Security-Policy med valda källor och direktiv och kopiera sedan resultatet för testning och införande.

Så använder du

Börja med standardkällan på första raden: den fungerar som reserv för alla resurstyper som du inte listar separat.
På nästa rad listar du de ursprung som får leverera skript, och skriver dem efter varandra åtskilda av mellanslag.
Använd tredje raden för anslutningskällor, alltså de ursprung som sidan får nå med nätverksförfrågningar.
Bygg policyn: hela uppsättningen direktiv visas i resultatområdet, redo att läsas uppifrån och ned.
Kopiera policyn till din header eller konfigurationsfil och rulla ut den i rapportläge innan du tillämpar den.

Exempel

Exemplet tillåter en huvuddomän som standardkälla, upprepar den domänen plus en leveransdomän för skript och behåller en separat domän för anslutningar. Kontrollera efter bygget att resultatområdet innehåller en sammanhängande policy i stället för flera överlappande direktiv.

Indata

https://example.com
https://example.com https://cdn.example.com
https://api.example.com

Resultat

default-src https://example.com; script-src https://example.com https://cdn.example.com; connect-src https://api.example.com; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Gränser och format

Den genererade policyn sätter regler men testar aldrig din webbplats, så du måste bekräfta att varje legitim resurs fortfarande laddas.
En alltför strikt policy kan bryta funktioner utan något synligt fel, vilket är anledningen till att en omgång i endast rapportläge kommer först.
Källor måste stämma överens med varandra: en domän som används för skript men saknas i standardkällan behöver en uttrycklig post.
Formulär, nedladdningar och inbäddat innehåll följer andra regler, så den här policyn täcker inte hela beteendet hos en sida.

Var bearbetningen sker

Policyn sätts samman i din webbläsare. Domänerna du skriver stannar på din enhet, inget skickas och ingen kopia finns kvar efter att du stänger fliken, vilket gör det praktiskt att först utforma en intern konfiguration.

Vanliga frågor

Vad är skillnaden mellan standardkällan och skriptkällor?

Standardkällan är reserven för resurstyper som du inte har listat individuellt, medan skriptkällor bara styr körbar kod. En domän som tillåts som skriptkälla är därför inte automatiskt tillåten för stilar, bilder eller anslutningar.

Varför går en sida sönder efter att jag publicerar policyn?

Vanligtvis saknas ett legitimt ursprung: ett externt stilmall, ett teckensnitt, en inbäddad ram eller en analystjänst. Lista varje resurs som sidan faktiskt anropar, lägg till de saknade domänerna, bygg om policyn och publicera den igen.

Kan jag återanvända samma policy på flera webbplatser?

Formuleringen kan enkelt återanvändas, men varje webbplats hämtar sina egna resurser. Behandla texten som en utgångspunkt och justera sedan domänerna för varje projekt så att du inte blockerar något som sidan är beroende av.