Cos'è la Content Security Policy (CSP)?

La Content Security Policy è un'intestazione di risposta HTTP che dice al browser quali risorse possono essere caricate su una pagina web. Previene attacchi di Cross-Site Scripting (XSS), clickjacking e altre iniezioni di codice limitando le origini di script, stili, immagini e altre risorse. Senza CSP, il browser carica qualsiasi risorsa referenziata nella pagina, inclusi script dannosi iniettati da un aggressore.

Qual è la differenza tra modalità solo report e modalità di applicazione?

Content-Security-Policy-Report-Only invia report di violazione ma non blocca alcuna risorsa, adatto per test di sicurezza. Content-Security-Policy applica la policy e blocca le violazioni. Inizia sempre in modalità solo report per identificare tutte le risorse legittime di cui la tua pagina ha bisogno prima di passare alla modalità di applicazione.

La CSP può sostituire la validazione dell'input?

No. La CSP è uno strato di difesa in profondità, non un sostituto della validazione dell'input e della codifica dell'output. Dovresti comunque sanitizzare tutti gli input utente, codificare l'output e seguire pratiche di codifica sicura. La CSP fornisce una rete di sicurezza aggiuntiva che limita i danni se viene scoperta una vulnerabilità XSS, ma non dovrebbe essere la tua unica linea di difesa.

Come testare la CSP prima di applicarla?

Usa Content-Security-Policy-Report-Only per testare la tua policy senza rompere il sito. Configura un endpoint report-uri per raccogliere i report di violazione. Monitora i report per un periodo sufficientemente lungo (giorni o settimane) per identificare tutte le risorse legittime. Correggi eventuali violazioni aggiungendo le origini necessarie alla policy. Una volta che non compaiono più violazioni legittime, passa all'intestazione di applicazione.

La CSP può rompere il mio sito?

Sì, una CSP configurata in modo errato può bloccare risorse legittime, causando funzionalità rotte, immagini mancanti, chiamate API fallite e script non funzionanti. Ecco perché dovresti sempre testare prima con la modalità solo report e poi restringere gradualmente la policy. L'uso di 'unsafe-inline' o 'unsafe-eval' indebolisce la protezione ma potrebbe essere necessario per applicazioni legacy.

Guida alla Content Security Policy (CSP): Proteggi il Tuo Sito

Il Cross-Site Scripting (XSS) rimane una delle vulnerabilità web più diffuse, costantemente presente nella OWASP Top 10. Nonostante decenni di consapevolezza sulla sicurezza, gli attacchi XSS continuano a compromettere i siti web perché le difese tradizionali come la validazione dell'input e la codifica dell'output non sono infallibili. La Content Security Policy (CSP) fornisce un potente strato di difesa aggiuntivo, dicendo al browser quali risorse sono autorizzate a caricarsi ed eseguirsi su una pagina. Se configurata correttamente, la CSP può neutralizzare completamente gli attacchi XSS impedendo l'esecuzione di script non autorizzati. Questa guida copre tutto, dalla comprensione delle direttive alla costruzione e distribuzione di policy pronte per la produzione.

Cos'è la Content Security Policy?

La Content Security Policy è un'intestazione di risposta HTTP (o meta tag) che consente agli operatori di siti web di dichiarare le origini approvate di contenuti che il browser può caricare. Funziona come una whitelist: qualsiasi risorsa non esplicitamente consentita dalla policy viene bloccata. Questo meccanismo impedisce agli aggressori di iniettare script, stili o altre risorse dannose nella tua pagina, anche se trovano un modo per inserire HTML nella tua applicazione.