Как настроить Content Security Policy?
WiseLab · Обновлено
Начните CSP в режиме Content-Security-Policy-Report-Only: соберите нарушения, добавьте только необходимые источники и затем включите принудительный заголовок. Политика должна приходить в HTTP-ответе на все страницы, а не только в HTML-разметке.
Что сделать
Для первого варианта ограничьте default-src, явно задайте script-src и style-src для своих доменов и нужных внешних сервисов. Проверьте форму, оплату, аналитику и виджеты: CSP может заблокировать их загрузку. Не добавляйте unsafe-inline и * просто для устранения ошибки — сначала выясните, какой ресурс нужен.
Как применить
- Отправьте Content-Security-Policy-Report-Only с минимальным набором директив.
- Проверьте в DevTools сообщения о нарушениях во всех критичных сценариях.
- Замените report-only на Content-Security-Policy после исправления разрешённых источников.
Источники
Подготовлено с помощью ИИ по указанным источникам. Примеры с условными данными используются для объяснения и не описывают результаты клиентов.