Content Security Policy (CSP)

Content Security Policy, kısaca CSP, web sitesinin tarayıcıya ilettiği güvenlik politikasıdır. Talimatları, belgenin hangi betikleri ve diğer kaynakları yükleyebileceğini belirleyebilir. Tarayıcı tanımlanmış kuralları uygular; yalnız bir CSP’nin bulunması, ne kadar sıkı olduğu hakkında bilgi vermez.

Raporlamakla engellemeyi ayırmak

Kurgusal bir proje portalı önce Content-Security-Policy-Report-Only yanıt başlığı üzerinden, raporlama noktası kurulmuş bir politika planlar. Bu politika ihlalleri bildirir, ancak engellemez. Bildirim, planlanan kurallarda unutulmuş gerekli bir kaynağı da gösterebilir; tek başına saldırı kanıtı değildir.

Kuralları uygulayan sürüm Content-Security-Policy üzerinden gönderilir. Kapsadığı kurallara aykırı işlemleri engeller. Bu nedenle geçişte ekip, portalın gerekli işlevlerinin çalışmaya devam ettiğini de kontrol etmelidir. Ayrıca mevcut olan bir engelleyici politika, deneme sırasında zaten etkili olabilir.

Ek bir koruma katmanı

MDN, CSP’yi siteler arası betik çalıştırmaya karşı ek savunma olarak da açıklar. Güvenli çıktı noktaları ve izin verilen HTML’nin gereken şekilde temizlenmesi yine gereklidir. Portal örneği iki çalışma biçimini açıklar; gerçek bir web sitesinde denenmiş yapılandırma içermez.

Kaynaklar

• MDN — Content Security Policy (CSP)