Content Security Policy (CSP)

Content Security Policy, förkortat CSP, är en säkerhetspolicy som en webbplats skickar till webbläsaren. Direktiven kan bland annat bestämma vilka skript och andra resurser ett dokument får ladda. Webbläsaren tillämpar de fastställda reglerna; att en CSP finns säger inget i sig om hur sträng den är.

Skilj på rapportering och tillämpning

En fiktiv projektportal planerar först en policy via svarshuvudet Content-Security-Policy-Report-Only med en konfigurerad rapportmottagare. Policyn rapporterar överträdelser men blockerar dem inte. En rapport kan också peka på en nödvändig resurs som saknas i de planerade reglerna; den bevisar inte ensam en attack.

Den verkställande versionen skickas via Content-Security-Policy. Den blockerar överträdelser av de regler den omfattar. Vid övergången behöver teamet därför också kontrollera att portalens nödvändiga funktioner fortfarande fungerar. En annan policy som redan verkställs kan vara aktiv under provkörningen.

Ett extra skyddslager

MDN beskriver bland annat CSP som ett extra försvar mot cross-site scripting. Säkra utmatningsställen och nödvändig HTML-rensning för tillåtet innehåll behövs fortfarande. Portalexemplet förklarar de två lägena; det innehåller ingen konfiguration som har prövats på en verklig webbplats.

Källor

• MDN — Content Security Policy (CSP)