Content Security Policy (CSP)

La Content Security Policy, o CSP, è una policy di sicurezza che un sito invia al browser. Le sue direttive possono definire quali script e altre risorse un documento possa caricare. Il browser applica le regole definite; la semplice presenza di una CSP non indica quanto siano restrittive.

Distinguere segnalazione e applicazione

Un portale di progetto fittizio prevede inizialmente una policy tramite l’header di risposta Content-Security-Policy-Report-Only, con un endpoint di segnalazione configurato. Questa policy segnala le violazioni, ma non le blocca. Una segnalazione può anche indicare una risorsa necessaria che manca nelle regole previste; non prova da sola un attacco.

La versione che applica le regole viene trasmessa tramite Content-Security-Policy. Blocca le violazioni delle regole che copre. Nel passaggio, il team deve quindi verificare anche che le funzioni necessarie del portale continuino a funzionare. Un’altra policy già applicata può restare attiva durante la prova.

Un ulteriore livello di protezione

MDN descrive la CSP anche come difesa aggiuntiva contro il cross-site scripting. Restano necessari punti di uscita sicuri e la sanitizzazione richiesta dell’HTML consentito. L’esempio spiega le due modalità; non contiene una configurazione provata su un sito reale.

Fonti

• MDN — Content Security Policy (CSP)