Was ist Content Security Policy (CSP)?

Content Security Policy ist ein HTTP-Antwortheader, der dem Browser mitteilt, welche Ressourcen auf einer Webseite geladen werden dürfen. Es verhindert Cross-Site-Scripting (XSS), Clickjacking und andere Code-Injection-Angriffe, indem es die Quellen von Skripten, Stilen, Bildern und anderen Ressourcen einschränkt. Ohne CSP lädt der Browser jede Ressource, auf die auf einer Seite verwiesen wird, einschließlich bösartiger Skripte, die von Angreifern eingeschleust wurden.

Was ist der Unterschied zwischen Nur-Bericht-Modus und Durchsetzungsmodus?

Content-Security-Policy-Report-Only sendet Verstoßberichte, blockiert aber keine Ressourcen und eignet sich für Sicherheitstests. Content-Security-Policy setzt die Richtlinie durch und blockiert Verstöße. Beginnen Sie immer im Nur-Bericht-Modus, um alle legitimen Ressourcen zu identifizieren, die Ihre Seite benötigt, bevor Sie in den Durchsetzungsmodus wechseln.

Kann CSP die Eingabevalidierung ersetzen?

Nein. CSP ist eine Tiefenverteidigungsebene und kein Ersatz für Eingabevalidierung und Ausgabekodierung. Sie sollten weiterhin alle Benutzereingaben bereinigen, Ausgaben escapen und sichere Codierungspraktiken befolgen. CSP bietet ein zusätzliches Sicherheitsnetz, das den Schaden begrenzt, wenn eine XSS-Schwachstelle gefunden wird, aber es sollte nicht Ihre einzige Verteidigungslinie sein.

Wie teste ich CSP vor der Durchsetzung?

Verwenden Sie Content-Security-Policy-Report-Only, um Ihre Richtlinie zu testen, ohne Ihre Website zu beschädigen. Konfigurieren Sie einen report-uri-Endpunkt, um Verstoßberichte zu sammeln. Überwachen Sie die Berichte über einen ausreichenden Zeitraum (Tage oder Wochen), um alle legitimen Ressourcen zu identifizieren. Beheben Sie etwaige Verstöße, indem Sie der Richtlinie notwendige Quellen hinzufügen. Sobald keine legitimen Verstöße mehr auftreten, wechseln Sie zum Durchsetzungsheader.

Wird CSP meine Website beschädigen?

Ja, eine falsch konfigurierte CSP kann legitime Ressourcen blockieren, was zu defekten Funktionen, fehlenden Bildern, fehlgeschlagenen API-Aufrufen und nicht funktionierenden Skripten führt. Deshalb sollten Sie immer zuerst mit dem Nur-Bericht-Modus testen und die Richtlinie dann schrittweise verschärfen. Die Verwendung von 'unsafe-inline' oder 'unsafe-eval' schwächt den Schutz, kann aber für Legacy-Anwendungen notwendig sein.

Content Security Policy (CSP) Leitfaden: Schützen Sie Ihre Website

Cross-Site-Scripting (XSS) bleibt eine der häufigsten Web-Schwachstellen und steht durchgängig in den OWASP Top 10. Trotz jahrzehntelangem Sicherheitsbewusstsein gefährden XSS-Angriffe weiterhin Websites, da traditionelle Abwehrmaßnahmen wie Eingabevalidierung und Ausgabekodierung nicht narrensicher sind. Content Security Policy (CSP) bietet eine leistungsstarke zusätzliche Verteidigungsebene, indem sie dem Browser mitteilt, welche Ressourcen auf einer Seite geladen und ausgeführt werden dürfen. Bei korrekter Konfiguration kann CSP XSS-Angriffe vollständig neutralisieren, indem es die Ausführung nicht autorisierter Skripte blockiert. Dieser Leitfaden deckt alles ab – vom Verständnis der Direktiven bis zum Aufbau und der Bereitstellung einer produktionsreifen Richtlinie.

Was ist Content Security Policy?

Content Security Policy ist ein HTTP-Antwortheader (oder Meta-Tag), der es Website-Betreibern ermöglicht, genehmigte Inhaltsquellen zu deklarieren, die der Browser laden darf. Es funktioniert als Whitelist: Jede Ressource, die nicht ausdrücklich von der Richtlinie erlaubt wird, wird blockiert. Dieser Mechanismus verhindert, dass Angreifer bösartige Skripte, Stylesheets oder andere Ressourcen in Ihre Seite einschleusen, selbst wenn sie einen Weg gefunden haben, HTML in Ihre Anwendung einzufügen.