Content Security Policy (CSP)

Content Security Policy, forkortet CSP, er en sikkerhetspolicy som et nettsted sender til nettleseren. Direktivene kan blant annet fastsette hvilke skript og andre ressurser et dokument kan laste. Nettleseren bruker de fastsatte reglene; at en CSP finnes, sier ikke i seg selv hvor streng den er.

Skill mellom rapportering og håndheving

En fiktiv prosjektportal planlegger først en policy via svarheaderen Content-Security-Policy-Report-Only, med et konfigurert rapporteringsendepunkt. Denne policyen rapporterer brudd, men blokkerer dem ikke. En rapport kan også peke på en nødvendig ressurs som mangler i de planlagte reglene; den er ikke alene bevis for et angrep.

Den håndhevende varianten leveres via Content-Security-Policy. Den blokkerer brudd på reglene den omfatter. Ved overgangen må teamet derfor også kontrollere at portalens nødvendige funksjoner fortsatt virker. En annen policy som allerede håndheves, kan være aktiv under prøveløpet.

Et ekstra beskyttelseslag

MDN beskriver blant annet CSP som et ekstra forsvar mot cross-site scripting. Trygge steder for utdata og nødvendig rensing av tillatt HTML trengs fortsatt. Portaleksemplet forklarer de to modusene; det inneholder ingen konfigurasjon prøvd på et virkelig nettsted.

Kilder

• MDN — Content Security Policy (CSP)