Content Security Policy (CSP)

Content Security Policy, kurz CSP, ist eine Sicherheitsrichtlinie, die eine Website dem Browser übermittelt. Ihre Anweisungen können unter anderem festlegen, welche Skripte und anderen Ressourcen ein Dokument laden darf. Der Browser wendet die jeweils festgelegten Regeln an; die bloße Existenz einer CSP sagt noch nichts über deren Strenge aus.

Melden und Durchsetzen unterscheiden

Ein fiktives Projektportal plant zunächst eine Richtlinie über den Antwortheader Content-Security-Policy-Report-Only mit eingerichteter Meldestelle. Diese Richtlinie meldet Verletzungen, blockiert sie aber nicht. Ein solcher Bericht kann auch auf eine benötigte Ressource hinweisen, die in den geplanten Regeln fehlt; er ist für sich kein Nachweis eines Angriffs.

Die durchsetzende Variante wird über Content-Security-Policy ausgeliefert. Sie blockiert Verstöße gegen die von ihr abgedeckten Regeln. Beim Wechsel muss das Team deshalb auch prüfen, ob die benötigten Funktionen des Portals weiterhin arbeiten. Eine zusätzlich vorhandene durchsetzende Richtlinie kann bereits während der Erprobung wirksam sein.

Eine zusätzliche Schutzschicht

MDN beschreibt CSP unter anderem als zusätzliche Abwehr gegen Cross-Site Scripting. Sichere Ausgabestellen und die erforderliche Bereinigung von erlaubtem HTML bleiben trotzdem nötig. Das Portalbeispiel erklärt die zwei Betriebsarten; es enthält keine auf einer realen Website erprobte Konfiguration.

Quellen

• MDN — Content Security Policy (CSP)