¿Qué es Content Security Policy (CSP)?

Content Security Policy es una cabecera de respuesta HTTP que indica al navegador qué recursos están permitidos cargar en una página web. Previene ataques de Cross-Site Scripting (XSS), clickjacking y otros ataques de inyección de código restringiendo los orígenes de scripts, estilos, imágenes y otros recursos. Sin CSP, el navegador carga cualquier recurso referenciado en la página, incluidos los scripts maliciosos inyectados por atacantes.

¿Cuál es la diferencia entre el modo solo informe y el modo de aplicación?

Content-Security-Policy-Report-Only envía informes de violación pero no bloquea ningún recurso, siendo adecuado para pruebas de seguridad. Content-Security-Policy aplica la política y bloquea las violaciones. Comienza siempre en modo solo informe para identificar todos los recursos legítimos que necesita tu página antes de cambiar al modo de aplicación.

¿Puede CSP reemplazar la validación de entrada?

No. CSP es una capa de defensa en profundidad, no un reemplazo de la validación de entrada y la codificación de salida. Aún debes sanear todas las entradas de usuario, escapar las salidas y seguir prácticas de codificación segura. CSP proporciona una red de seguridad adicional que limita el daño cuando se descubre una vulnerabilidad XSS, pero no debe ser tu única línea de defensa.

¿Cómo probar CSP antes de aplicarlo?

Usa Content-Security-Policy-Report-Only para probar tu política sin romper tu sitio. Configura un endpoint report-uri para recopilar informes de violación. Monitoriza los informes durante un período suficientemente largo (días o semanas) para identificar todos los recursos legítimos. Corrige cualquier violación añadiendo los orígenes necesarios a la política. Una vez que no aparezcan más violaciones legítimas, cambia a la cabecera de aplicación.

¿Puede CSP romper mi sitio web?

Sí, una CSP mal configurada puede bloquear recursos legítimos, causando funcionalidad rota, imágenes faltantes, llamadas API fallidas y scripts que no funcionan. Por eso siempre debes probar primero en modo solo informe y luego ajustar gradualmente la política. Usar 'unsafe-inline' o 'unsafe-eval' debilita la protección pero puede ser necesario para aplicaciones heredadas.

Guía de Content Security Policy (CSP): Protege tu sitio web

El Cross-Site Scripting (XSS) sigue siendo una de las vulnerabilidades web más prevalentes, figurando constantemente en el OWASP Top 10. A pesar de décadas de concienciación sobre seguridad, los ataques XSS continúan comprometiendo sitios web porque las defensas tradicionales como la validación de entrada y la codificación de salida no son infalibles. Content Security Policy (CSP) proporciona una poderosa capa de defensa adicional al indicar al navegador qué recursos están permitidos cargar y ejecutar en una página. Cuando se configura correctamente, CSP puede neutralizar completamente los ataques XSS bloqueando la ejecución de scripts no autorizados. Esta guía cubre todo, desde la comprensión de las directivas hasta la construcción y despliegue de políticas listas para producción.

¿Qué es Content Security Policy?

Content Security Policy es una cabecera de respuesta HTTP (o etiqueta meta) que permite a los operadores de sitios web declarar los orígenes aprobados de contenido que el navegador puede cargar. Funciona como una lista blanca: cualquier recurso no permitido explícitamente por la política es bloqueado. Este mecanismo impide que los atacantes inyecten scripts, estilos u otros recursos maliciosos en tu página, incluso si encuentran una forma de insertar HTML en tu aplicación.