Content Security Policy meta http-equiv

Kebijakan Keamanan Konten adalah kebijakan yang diberlakukan peramban untuk membatasi sumber daya mana yang dapat dimuat dan dijalankan oleh halaman. Ini merupakan pertahanan terkuat terhadap Scripting Lintas Situs: meskipun penyerang menyisipkan tag <script>, peramban menolak menjalankannya kecuali kebijakan mengizinkannya.

CSP dapat dikirim sebagai header respons HTTP (Content-Security-Policy: ...) atau sebagai tag meta dalam HTML: <meta http-equiv="Content-Security-Policy" content="...">. Header lebih disarankan; tag meta berguna ketika Anda tidak dapat mengendalikan peladen.

default-src menjadi sumber cadangan untuk jenis sumber daya yang tidak ditentukan. script-src, style-src, img-src, connect-src (XHR/fetch), font-src, dan frame-src masing-masing membatasi jenisnya. Masukkan asal tertentu ke daftar izin atau gunakan 'self' agar hanya asal yang sama yang diizinkan.

'self' (diapit tanda kutip) merujuk pada asal halaman itu sendiri. script-src 'self' berarti "hanya jalankan skrip yang dihosting pada asal yang sama dengan halaman". Ini merupakan dasar bagi sebagian besar kebijakan; tambahkan CDN eksternal tertentu jika diperlukan.

Secara bawaan, CSP memblokir semua tag <script> sebaris dan atribut penangan peristiwa (onclick). Ini adalah perlindungan XSS terkuat: <script> yang disisipkan tidak dapat dijalankan karena berada sebaris. Pindahkan semua skrip ke berkas eksternal yang dirujuk oleh src.

Untuk skrip sebaris yang diperlukan, gunakan nonce: peladen membuat token acak untuk setiap permintaan, menetapkannya sebagai script-src 'nonce-RANDOM' dalam CSP, lalu menambahkan nonce="RANDOM" ke tag <script> yang sah. Skrip yang disisipkan tidak memiliki nonce tersebut sehingga diblokir.

'unsafe-inline' mengizinkan kembali skrip dan gaya sebaris. 'unsafe-eval' mengizinkan kembali eval() dan new Function(). Keduanya sangat melemahkan CSP—gunakan hanya sebagai pilihan terakhir selama migrasi, lalu rencanakan untuk menghapusnya.

CSP yang dikirim melalui tag meta tidak dapat menggunakan direktif report-uri (atau fitur pelaporan lainnya). CSP juga mulai berlaku lebih lambat daripada header—apa pun yang muncul sebelum tag meta tidak terlindungi. Header jauh lebih baik; gunakan meta hanya sebagai cadangan.

Uji kebijakan baru tanpa merusak situs: Content-Security-Policy-Report-Only: .... Peramban melaporkan pelanggaran tanpa memblokirnya, sehingga Anda dapat menyempurnakan kebijakan sampai semua sumber daya yang sah diizinkan sebelum mengaktifkan penerapannya.

Lupa bahwa style-src 'unsafe-inline' diperlukan akan memblokir gaya sebaris (yang sering dihasilkan oleh kerangka kerja). Lupa menambahkan connect-src akan memblokir AJAX ke API. Selalu uji kebijakan dalam mode hanya laporan terlebih dahulu dan periksa konsol untuk melihat sumber daya yang diblokir.

CSP ketat menggabungkan script-src 'nonce-RANDOM' 'strict-dynamic' untuk skrip, ditambah daftar izin yang ketat untuk hal lainnya. 'strict-dynamic' memungkinkan skrip yang memiliki nonce memuat skrip lain tanpa mencantumkan masing-masing skrip—jauh lebih mudah dipelihara daripada daftar izin per asal.

Bagaimana CSP melindungi dari serangan XSS meskipun penyerang berhasil menyisipkan tag skrip?

CSP adalah kebijakan yang diberlakukan peramban untuk membatasi skrip, gaya, gambar, dan sumber daya lain yang dapat dimuat. Kirim melalui header respons (lebih disarankan) atau tag meta. Gunakan nonce untuk skrip sebaris yang diperlukan, hindari unsafe-inline/unsafe-eval, dan lakukan pengujian dalam mode hanya laporan terlebih dahulu. CSP ketat dengan 'nonce-X' 'strict-dynamic' adalah dasar modern.