ما هي سياسة أمان المحتوى (CSP)؟

سياسة أمان المحتوى هي رأس استجابة HTTP يخبر المتصفح بالموارد المسموح بتحميلها على صفحة الويب. تمنع هجمات البرمجة النصية عبر المواقع (XSS) وهجمات النقر المختطف وغيرها من هجمات حقن الكود عن طريق تقييد مصادر البرامج النصية والأنماط والصور والموارد الأخرى. بدون CSP، يحمّل المتصفح أي مورد مشار إليه في الصفحة، بما في ذلك البرامج النصية الخبيثة التي يحقنها المهاجمون.

ما الفرق بين وضع التقرير فقط ووضع الفرض؟

يرسل Content-Security-Policy-Report-Only تقارير المخالفات لكنه لا يحظر أي موارد، وهو مناسب للاختبار الآمن. يفرض Content-Security-Policy السياسة ويحظر المخالفات. ابدأ دائمًا بوضع التقرير فقط، وحدد جميع الموارد المشروعة التي تحتاجها صفحتك، ثم انتقل إلى وضع الفرض.

هل يمكن لـ CSP أن تحل محل التحقق من المدخلات؟

لا. CSP هي طبقة دفاع متعمق، وليست بديلاً عن التحقق من المدخلات وترميز المخرجات. يجب عليك الاستمرار في تنظيف جميع مدخلات المستخدم وترميز المخرجات واتباع ممارسات الترميز الآمن. توفر CSP شبكة أمان إضافية تحد من الضرر إذا تم العثور على ثغرة XSS، لكنها لا ينبغي أن تكون خط دفاعك الوحيد.

كيف يمكنني اختبار CSP قبل الفرض؟

اختبر سياستك باستخدام Content-Security-Policy-Report-Only دون كسر موقعك. قم بتكوين نقطة نهاية report-uri لجمع تقارير المخالفات. راقب التقارير لفترة كافية (أيام أو أسابيع) لتحديد جميع الموارد المشروعة. أصلح أي مخالفات بإضافة المصادر الضرورية إلى سياستك. بمجرد عدم ظهور مخالفات مشروعة، انتقل إلى رأس الفرض.

هل يمكن لـ CSP أن تكسر موقعي؟

نعم، يمكن لـ CSP المهيأة بشكل غير صحيح أن تحظر الموارد المشروعة، مما يتسبب في تعطل الوظائف وفقدان الصور وفشل استدعاءات API وعدم عمل البرامج النصية. لهذا السبب يجب عليك دائمًا الاختبار في وضع التقرير فقط أولاً، ثم تشديد السياسة تدريجيًا. استخدام 'unsafe-inline' أو 'unsafe-eval' يضعف الحماية ولكنه قد يكون ضروريًا للتطبيقات القديمة.

دليل سياسة أمان المحتوى (CSP): حماية موقعك

تظل هجمات البرمجة النصية عبر المواقع (XSS) من بين أكثر ثغرات الويب انتشارًا، حيث تظهر باستمرار في قائمة OWASP Top 10. على الرغم من عقود من الوعي الأمني، لا تزال هجمات XSS تضر بالمواقع لأن الدفاعات التقليدية مثل التحقق من المدخلات وترميز المخرجات ليست مضمونة. توفر سياسة أمان المحتوى (CSP) طبقة دفاع إضافية قوية عن طريق إخبار المتصفح بالموارد المسموح بتحميلها وتنفيذها على الصفحة. عند تكوينها بشكل صحيح، يمكن لـ CSP تحييد هجمات XSS تمامًا عن طريق منع تنفيذ البرامج النصية غير المصرح بها. يغطي هذا الدليل كل شيء من فهم التوجيهات إلى بناء ونشر سياسة جاهزة للإنتاج.

ما هي سياسة أمان المحتوى؟

سياسة أمان المحتوى هي رأس استجابة HTTP (أو وسم meta) يسمح لمشغلي المواقع بتصريح مصادر المحتوى المعتمدة التي يمكن للمتصفح تحميلها. تعمل كقائمة بيضاء: أي مورد غير مسموح به صراحةً من قبل السياسة يتم حظره. تمنع هذه الآلية المهاجمين من حقن برامج نصية أو أنماط أو موارد أخرى ضارة في صفحتك، حتى لو وجدوا طريقة لإدراج HTML في تطبيقك.