Apa itu Content Security Policy (CSP)?

Content Security Policy adalah header respons HTTP yang memberi tahu browser sumber daya mana yang diizinkan untuk dimuat di halaman web. Ini mencegah serangan Cross-Site Scripting (XSS), clickjacking, dan serangan injeksi kode lainnya dengan membatasi sumber skrip, gaya, gambar, dan sumber daya lainnya. Tanpa CSP, browser memuat sumber daya apa pun yang direferensikan di halaman, termasuk skrip berbahaya yang disuntikkan oleh penyerang.

Apa perbedaan antara mode report-only dan mode enforcement?

Content-Security-Policy-Report-Only mengirim laporan pelanggaran tetapi tidak memblokir sumber daya apa pun, cocok untuk pengujian keamanan. Content-Security-Policy menegakkan kebijakan dan memblokir pelanggaran. Selalu mulai dengan mode report-only, identifikasi semua sumber daya sah yang dibutuhkan halaman Anda, lalu beralih ke mode enforcement.

Apakah CSP dapat menggantikan validasi input?

Tidak. CSP adalah lapisan pertahanan berlapis, bukan pengganti validasi input dan output encoding. Anda tetap harus membersihkan semua input pengguna, meng-escape output, dan mengikuti praktik pengkodean yang aman. CSP menyediakan jaring pengaman tambahan yang membatasi kerusakan jika kerentanan XSS ditemukan, tetapi tidak boleh menjadi satu-satunya garis pertahanan Anda.

Bagaimana cara menguji CSP sebelum menerapkannya?

Gunakan Content-Security-Policy-Report-Only untuk menguji kebijakan Anda tanpa merusak website. Konfigurasikan endpoint report-uri untuk mengumpulkan laporan pelanggaran. Pantau laporan selama periode yang cukup lama (beberapa hari atau minggu) untuk mengidentifikasi semua sumber daya yang sah. Perbaiki pelanggaran apa pun dengan menambahkan sumber yang diperlukan ke kebijakan. Setelah tidak ada lagi pelanggaran sah yang muncul, beralih ke header enforcement.

Apakah CSP dapat merusak website saya?

Ya, CSP yang dikonfigurasi dengan buruk dapat memblokir sumber daya yang sah, menyebabkan fungsionalitas rusak, gambar hilang, panggilan API gagal, dan skrip tidak berfungsi. Inilah sebabnya Anda harus selalu menguji terlebih dahulu dengan mode report-only, lalu secara bertahap memperketat kebijakan. Menggunakan 'unsafe-inline' atau 'unsafe-eval' melemahkan perlindungan tetapi mungkin diperlukan untuk aplikasi legacy.

Panduan Content Security Policy (CSP): Lindungi Website Anda

Serangan Cross-Site Scripting (XSS) tetap menjadi salah satu kerentanan Web yang paling umum, secara konsisten masuk dalam OWASP Top 10. Meskipun sudah ada kesadaran keamanan selama puluhan tahun, serangan XSS masih mengkompromikan website karena pertahanan tradisional seperti validasi input dan output encoding tidaklah sempurna. Content Security Policy (CSP) menyediakan lapisan pertahanan tambahan yang kuat dengan memberi tahu browser sumber daya mana yang diizinkan untuk dimuat dan dieksekusi di halaman. Dikonfigurasi dengan benar, CSP dapat sepenuhnya menetralisir serangan XSS dengan memblokir eksekusi skrip yang tidak sah. Panduan ini mencakup semuanya mulai dari memahami direktif hingga membangun dan menerapkan kebijakan siap produksi.

Apa itu Content Security Policy?

Content Security Policy adalah header respons HTTP (atau meta tag) yang memungkinkan operator website mendeklarasikan sumber konten yang disetujui yang dapat dimuat oleh browser. Ini beroperasi sebagai whitelist: sumber daya apa pun yang tidak secara eksplisit diizinkan oleh kebijakan akan diblokir. Mekanisme ini mencegah penyerang menyuntikkan skrip, gaya, atau sumber daya berbahaya lainnya ke halaman Anda, bahkan jika mereka menemukan cara untuk menyisipkan HTML ke dalam aplikasi Anda.