Γεννήτρια Content Security Policy

Πώς δημιουργείτε μια πολιτική

1. Επιλέξτε σημείο εκκίνησης στο Ξεκινήστε από μια προρύθμιση: Αυστηρή (nonce + strict-dynamic), Στατικός ιστότοπος με πλήρη περιορισμό, Τυπικός ιστότοπος ή Τυπικός + Google Analytics / Ads. Ο επεξεργαστής ανοίγει με την προρύθμιση του τυπικού ιστότοπου.
2. Προσαρμόστε τις Οδηγίες. Κάθε πεδίο δέχεται πηγές χωρισμένες με κενά· ένα κενό πεδίο παραλείπει την οδηγία.
3. Με τη Γρήγορη προσθήκη προσθέτετε μια λέξη-κλειδί στην Οδηγία που επιλέξατε: 'self', 'none', 'unsafe-inline', 'strict-dynamic', https:, data:… Η Προσθήκη nonce εισάγει ένα τυχαίο nonce 128 bit.
4. Για να επιτρέψετε ένα συγκεκριμένο ενσωματωμένο script χωρίς 'unsafe-inline', επικολλήστε το (ή το HTML γύρω από αυτό) στο Κατακερματισμός ενσωματωμένου script ή στυλ και πατήστε Υπολογισμός SHA-256 και προσθήκη.
5. Επιλέξτε το upgrade-insecure-requests αν κάποιες παλιές διευθύνσεις χρησιμοποιούν ακόμη http:// και, προαιρετικά, συμπληρώστε το URL τελικού σημείου αναφορών (προαιρετικό).
6. Αντιγράψτε την Κεφαλίδα HTTP, την Κεφαλίδα Report-Only ή την Ετικέτα HTML . Ο Έλεγχος αυτής της πολιτικής ενημερώνεται καθώς πληκτρολογείτε.

Για να ελέγξετε μια πολιτική που ήδη έχετε, επικολλήστε την στο Αξιολόγηση υπάρχουσας πολιτικής και πατήστε Αξιολόγηση πολιτικής· το Φόρτωση στον επεξεργαστή την αντιγράφει στα πεδία. Όλα γίνονται στο πρόγραμμα περιήγησής σας: τίποτα από όσα πληκτρολογείτε δεν στέλνεται σε διακομιστή.

Τι κάνει μια Content Security Policy

Η CSP λέει στο πρόγραμμα περιήγησης από ποιες προελεύσεις επιτρέπεται να φορτώνει μια σελίδα scripts, στυλ, εικόνες, γραμματοσειρές, πλαίσια και συνδέσεις. Βασικός της στόχος είναι ο περιορισμός του cross-site scripting (XSS): ακόμη κι αν ένας επιτιθέμενος εισαγάγει κώδικα στη σελίδα σας, μια καλή πολιτική εμποδίζει την εκτέλεση του script που εισήχθη. Ελέγχει επίσης ποιος μπορεί να ενσωματώσει τη σελίδα σας (frame-ancestors), πού μπορούν να υποβληθούν οι φόρμες (form-action) και σε τι μπορεί να δείχνει το <base> (base-uri).

Οι οδηγίες φόρτωσης πόρων, όπως τα img-src ή font-src, ανατρέχουν στο default-src όταν λείπουν. Τα base-uri, form-action και frame-ancestors δεν ανατρέχουν πουθενά, γι’ αυτό ο έλεγχος τα ζητά ρητά.

Nonce, hash και strict-dynamic

Η αναγραφή επιτρεπόμενων διακομιστών (script-src https://cdn.example.com) φαίνεται ασφαλής, αλλά συχνά παρακάμπτεται: μεγάλοι τομείς φιλοξενούν σημεία JSONP και παλιές βιβλιοθήκες που ένας επιτιθέμενος μπορεί να εκμεταλλευτεί. Η προσέγγιση που προτείνουν οι ομάδες ασφάλειας των προγραμμάτων περιήγησης είναι η αυστηρή CSP: κάθε νόμιμο <script> φέρει ένα nonce που παράγει ο διακομιστής για κάθε απόκριση ή επιτρέπεται μέσω του hash του, και το 'strict-dynamic' αφήνει αυτά τα αξιόπιστα scripts να φορτώνουν όσα άλλα χρειάζονται. Έτσι, τα https: και 'unsafe-inline' λειτουργούν μόνο ως εφεδρική λύση για πολύ παλιά προγράμματα περιήγησης· τα σύγχρονα τα αγνοούν.

Ένα nonce λειτουργεί μόνο αν αλλάζει σε κάθε απόκριση και δεν μπορεί να προβλεφθεί. Το nonce που εισάγει η Προσθήκη nonce είναι παράδειγμα: ο διακομιστής ή το framework σας πρέπει να παράγει το δικό του. Το hash καλύπτει τα ακριβή byte του ενσωματωμένου κώδικα, οπότε αν αλλάξετε τη μορφοποίηση του script χρειάζεστε νέο hash.

Κεφαλίδα, Report-Only και ετικέτα meta

Όποτε μπορείτε, στείλτε την πολιτική ως κεφαλίδα απόκρισης HTTP. Εφαρμόστε την πρώτα ως Content-Security-Policy-Report-Only: τα προγράμματα περιήγησης αναφέρουν τις παραβιάσεις (στην κονσόλα και, αν έχετε ορίσει τελικό σημείο, σε αυτό) χωρίς να αποκλείουν τίποτα, ώστε να διορθώσετε τις σελίδες σας πριν την επιβολή. Οι ρυθμίσεις αναφορών προσθέτουν report-uri για παλαιότερα προγράμματα και report-to με κεφαλίδα Reporting-Endpoints.

Η έκδοση <meta http-equiv> είναι βολική σε στατική φιλοξενία, όμως τα προγράμματα περιήγησης αγνοούν σε αυτήν τα frame-ancestors, report-uri, report-to και sandbox, και δεν υπάρχει ετικέτα meta Report-Only. Το εργαλείο αφαιρεί αυτές τις οδηγίες από την ετικέτα και σας το αναφέρει.