Что такое Content Security Policy (CSP)?
WiseLab · Обновлено
CSP — политика, которой сайт сообщает браузеру, откуда разрешено загружать скрипты, стили, изображения и другие ресурсы. Она ограничивает последствия некоторых внедрений кода. Политика задаётся, в частности, HTTP-заголовком Content-Security-Policy.
Почему нельзя скопировать чужую строку
Разрешённые источники должны соответствовать реальным ресурсам вашего сайта. Слишком широкие правила ослабляют защиту, слишком узкие ломают формы, оплату или интерфейс. Для внедрения удобно сначала наблюдать нарушения через Content-Security-Policy-Report-Only, затем включать проверенную политику.
Как применить
- Составьте список используемых внешних скриптов, стилей, фреймов и сетевых адресов.
- Проверьте сообщения о нарушениях на типовых сценариях.
- После включения повторите вход, отправку формы и загрузку медиа.
Здесь CSP означает веб-политику Content Security Policy. КриптоПро CSP и другие продукты с тем же сокращением — отдельная тема.
Открыть инструмент по темеИсточники
Подготовлено с помощью ИИ по указанным источникам. Примеры с условными данными используются для объяснения и не описывают результаты клиентов.