Content Security Policy (CSP)

Welkom bij Content Security Policy (CSP)! Deze krachtige beveiligingsfunctie helpt je browserextensies en webpagina's te beschermen tegen gevaarlijke aanvallen zoals Cross-Site Scripting (XSS).

Zie CSP als een portier voor je extensie. CSP vertelt de browser precies uit welke bronnen scripts, stijlen, afbeeldingen en andere bronnen mogen worden geladen.

CSP werkt door een reeks "directives" te definiëren in het bestand manifest.json van je extensie. Elke directive specificeert geldige bronnen voor een bepaald type bron.

• Scripts: Waar JavaScript vandaan mag worden geladen.
• Stijlen: Waar CSS vandaan mag komen.
• Afbeeldingen: Toegestane bronnen voor afbeeldingen.
• Frames: Welke URL's in iframes mogen worden ingesloten.

Als een bron vanuit een niet-goedgekeurde bron probeert te worden geladen, blokkeert de browser deze.

Voor Manifest V3-extensies passen Chrome en Edge automatisch een zeer strikte standaard-Content Security Policy toe. Dit zorgt voor een basisniveau van beveiliging.

Je kunt deze standaard-CSP aanpassen of overschrijven met de sleutel content_security_policy in het bestand manifest.json. Dit is essentieel wanneer je extensie bronnen uit specifieke externe domeinen moet laden.

De directive default-src is de terugvaloptie van je CSP. Als je geen directive opgeeft voor een bepaald brontype (zoals script-src of img-src), gebruikt de browser de regels uit default-src.

Veelgebruikte waarden:

• 'self': Staat alleen bronnen van de eigen oorsprong van de extensie toe.
• https://example.com: Staat bronnen van een specifiek HTTPS-domein toe.
• *: Staat bronnen van elke oorsprong toe (gebruik dit uiterst voorzichtig!).

De directive script-src is essentieel om Cross-Site Scripting (XSS) te voorkomen. Deze bepaalt waarvandaan je extensie JavaScript-code mag laden.

Vermijd in extensies altijd het gebruik van 'unsafe-inline' of 'unsafe-eval'. Deze directives staan inline scripts en eval() toe, wat grote beveiligingsrisico's met zich meebrengt. Laad scripts uit het pakket van je extensie of uit expliciet toegestane veilige domeinen.

Zo definieer je een eenvoudige CSP in je manifest.json om alleen scripts uit het pakket van je extensie en afbeeldingen uit elke bron toe te staan:

Net als bij scripts kun je ook andere brontypen beheren:

• style-src: Definieert geldige bronnen voor CSS-stijlpagina's. Gebruik 'self' of specifieke HTTPS-URL's.
• img-src: Specificeert toegestane bronnen voor afbeeldingen. Je kunt 'self', data: (voor afbeeldingen in base64) of specifieke CDN's voor afbeeldingen gebruiken.

Houd de regels altijd zo beperkend mogelijk om de beveiliging te verbeteren!

CSP biedt nog veel meer directives voor zeer nauwkeurige controle:

• object-src: Beperkt bronnen voor plug-ins zoals <object> en <embed>.
• frame-src: Bepaalt welke URL's in <frame>, <iframe> enzovoort mogen worden geladen.
• connect-src: Beperkt waar je extensie netwerkverzoeken mag doen (bijvoorbeeld met fetch() of XMLHttpRequest).

Volg bij het definiëren van je CSP altijd het "principe van minimale bevoegdheden". Dit betekent dat je precies toestaat wat je extensie nodig heeft, en niets meer.

• Begin met de strengst mogelijke CSP.
• Voeg geleidelijk directives en bronnen toe wanneer dat nodig is.
• Vermijd jokertekens (*), tenzij ze absoluut noodzakelijk en gerechtvaardigd zijn.
• Controleer je CSP regelmatig naarmate je extensie zich ontwikkelt.

Goed gedaan! Je hebt geleerd dat Content Security Policy (CSP) een essentieel verdedigingsmechanisme voor je browserextensies is.

• CSP helpt XSS en andere injectieaanvallen te voorkomen.
• CSP werkt door vertrouwde bronnen voor bronnen op een witte lijst te zetten.
• Manifest V3 dwingt een strikte standaard-CSP af.
• Gebruik directives zoals default-src, script-src, style-src en img-src om inhoud te beheren.
• Pas bij het definiëren van je CSP altijd het principe van minimale bevoegdheden toe.

Een goed geconfigureerde CSP is essentieel voor het bouwen van veilige en robuuste extensies!