Content Security Policy (CSP)

Content Security Policy, kortweg CSP, is een beveiligingsbeleid dat een website aan de browser doorgeeft. De richtlijnen kunnen bepalen welke scripts en andere bronnen een document mag laden. De browser past de vastgelegde regels toe; alleen de aanwezigheid van een CSP zegt niets over hoe streng die zijn.

Rapporteren en afdwingen onderscheiden

Een fictief projectportaal plant eerst beleid via de antwoordheader Content-Security-Policy-Report-Only, met een ingesteld rapportage-eindpunt. Dit beleid meldt overtredingen, maar blokkeert ze niet. Een melding kan ook wijzen op een benodigde bron die in de geplande regels ontbreekt; ze bewijst op zichzelf geen aanval.

De afdwingende versie wordt via Content-Security-Policy geleverd. Ze blokkeert overtredingen van de regels die ze omvat. Bij de overstap moet het team daarom ook controleren of de benodigde portaalfuncties blijven werken. Een ander, al afdwingend beleid kan tijdens de proef actief blijven.

Een extra beschermingslaag

MDN beschrijft CSP onder meer als extra verdediging tegen cross-site scripting. Veilige uitvoerpunten en de noodzakelijke opschoning van toegestane HTML blijven nodig. Het portaalvoorbeeld verduidelijkt de twee modi; het bevat geen configuratie die op een echte website is getest.

Bronnen

• MDN — Content Security Policy (CSP)