Que é Content Security Policy (CSP)?

Content Security Policy é uma cabecera de respuesta HTTP que indica ao navegador que recursos estão permitidos cargar em uma página web. Previne ataques de Cross-Site Scripting (XSS), clickjacking e outros ataques de inyecção de código restringiendo os orígenes de scripts, estilos, imagens e outros recursos. Sem CSP, o navegador carga qualquer recurso referenciado na página, incluídos os scripts maliciosos inyectados por atacantes.

Qual é a diferença entre o modo solo informe e o modo de aplicação?

Content-Security-Policy-Report-Only envia informes de violação mas no bloqueia ningún recurso, sendo adequado para experimentas de segurança. Content-Security-Policy aplica a política e bloqueia as violaciones. Começa siempre em modo solo informe para identificar todos os recursos legítimos que necessita tua página antes de mudar ao modo de aplicação.

Pode CSP reemplazar a validação de entrada?

No. CSP é uma capa de defensa em profundidade, no um reemplazo de a validação de entrada e a codificação de salida. Aún deves sanear todas as entradas de usuario, escapar as salidas e seguir práticas de codificação segura. CSP proporciona uma red de segurança adicional que limita o danho quando se descubre uma vulnerabilidade XSS, mas no deve ser tua única linha de defensa.

Como testar CSP antes de aplicarlo?

Usa Content-Security-Policy-Report-Only para testar tua política sem romper tua site. Configura um endpoint report-uri para recopilar informes de violação. Monitoriza os informes durante um período suficientemente largo (días o semanas) para identificar todos os recursos legítimos. Corrige qualquer violação adicionando os orígenes necessários a a política. Uma vez que no aparezcan mais violaciones legítimas, muda a a cabecera de aplicação.

Pode CSP romper mi site web?

Sí, uma CSP mal configurada pode bloquear recursos legítimos, causando funcionalidade quebrada, imagens faltantes, chamadas API fallidas e scripts que no funcionam. Por isso siempre deves testar primero em modo solo informe e logo ajustar gradualmente a política. Usar 'unsafe-inline' o 'unsafe-eval' debilita a protecção mas pode ser necessário para aplicaciones heredadas.

Guia de Content Security Policy (CSP): Protege tua site web

O Cross-Site Scripting (XSS) segue sendo uma das vulnerabilidades web mais prevalentes, figurando constantemente no OWASP Top 10. Apesar de décadas de concienciação sobre segurança, os ataques XSS continúan comprometendo sites web porque as defensas tradicionales como a validação de entrada e a codificação de salida no são infaliveis. Content Security Policy (CSP) proporciona uma poderosa capa de defensa adicional ao indicar ao navegador que recursos estão permitidos cargar e executar em uma página. Quando se configura correctamente, CSP pode neutralizar completamente os ataques XSS bloqueando a execução de scripts no autorizados. Esta guia cobre todo, desde a compreensão das directivas até a construção e despliegue de políticas listas para producção.

Que é Content Security Policy?

Content Security Policy é uma cabecera de respuesta HTTP (o meta tag) que permite a os operadores de sites web declarar os orígenes aprobados de conteúdo que o navegador pode cargar. Funciona como uma lista branca: qualquer recurso no permitido explicitamente por a política é bloqueado. Este mecanismo impide que os atacantes inyecten scripts, estilos ou outros recursos maliciosos em tua página, inclusive se encontram uma forma de insertar HTML em tua aplicação.