Política de seguridad de contenido (CSP)
Una CSP puede limitar las fuentes de scripts permitidas. Una política de solo informe observa infracciones, pero no aplica esas reglas.
La política de seguridad de contenido, o CSP, es una política que un sitio envía al navegador. Sus directivas pueden establecer qué scripts y otros recursos puede cargar un documento. El navegador aplica las reglas definidas; la mera existencia de una CSP no indica lo estricta que es.
Distinguir los informes de la aplicación de reglas
Un portal de proyectos ficticio prevé primero una política mediante la cabecera de respuesta Content-Security-Policy-Report-Only, con un punto de recepción de informes configurado. Esta política informa de las infracciones, pero no las bloquea. Un informe también puede señalar un recurso necesario que falta en las reglas previstas; no demuestra por sí solo un ataque.
La versión que aplica las reglas se entrega mediante Content-Security-Policy. Bloquea las infracciones de las reglas que cubre. Al cambiar, el equipo debe comprobar también que las funciones necesarias del portal sigan funcionando. Otra política que ya aplique reglas puede seguir activa durante la prueba.
Una capa de protección adicional
MDN describe la CSP, entre otros usos, como una defensa adicional contra cross-site scripting. Siguen siendo necesarios puntos de salida seguros y el saneamiento requerido del HTML permitido. El ejemplo explica los dos modos; no contiene una configuración probada en un sitio real.
Fuentes
Términos relacionados
- Cross-site scripting (XSS)En el XSS, un contenido externo se convierte en código ejecutable en el navegador. Lo decisivo es cómo inserta la aplicación las entradas en sus páginas.
- HTMLHTML describe la estructura y el significado del contenido web. Identifica elementos como encabezados, tablas y campos de entrada.
- FrontendEl frontend es la interfaz que utilizan las personas. La información útil del navegador no sustituye los controles definitivos del servidor.
- Minimización de datosLa minimización limita los datos personales a lo adecuado, pertinente y necesario para una finalidad definida.
- Política de conservación de datosUna política de conservación define la finalidad, el inicio, la duración y el fin del almacenamiento. Los trabajos de borrado y las copias requieren medidas técnicas.
- Cifrado de sobreEl cifrado de sobre separa la clave de datos de la que la protege. El archivo cifrado y su clave de datos envuelta deben gestionarse juntos.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.