Content Security Policy — meta http-equiv

Content Security Policy to wymuszana przez przeglądarkę polityka ograniczająca zasoby, które strona może ładować i wykonywać. Jest to najsilniejsza ochrona przed atakami Cross-Site Scripting: nawet jeśli osoba atakująca wstrzyknie znacznik <script>, przeglądarka odmówi jego uruchomienia, chyba że zezwala na to polityka.

CSP można wysłać jako nagłówek odpowiedzi HTTP (Content-Security-Policy: ...) albo jako znacznik meta w kodzie HTML: <meta http-equiv="Content-Security-Policy" content="...">. Zalecany jest nagłówek; znacznik meta jest przydatny, gdy nie można kontrolować serwera.

default-src jest wartością zastępczą dla nieokreślonych typów zasobów. Każda z dyrektyw script-src, style-src, img-src, connect-src (XHR/fetch), font-src i frame-src ogranicza właściwy dla siebie rodzaj zasobów. Należy umieścić na białej liście konkretne originy albo użyć 'self', aby zezwolić wyłącznie na ten sam origin.

'self' (w cudzysłowie) oznacza własny origin strony. script-src 'self' oznacza "uruchamiaj wyłącznie skrypty hostowane na tym samym originie co strona". To podstawa większości polityk; w razie potrzeby należy dodać konkretne zewnętrzne CDN-y.

Domyślnie CSP blokuje wszystkie wbudowane znaczniki <script> oraz atrybuty obsługi zdarzeń (onclick). To najsilniejsza ochrona przed XSS: wstrzyknięty znacznik <script> nie może się uruchomić, ponieważ jest wbudowany. Należy przenieść wszystkie skrypty do zewnętrznych plików wskazywanych przez src.

W przypadku koniecznych skryptów wbudowanych należy użyć nonce: serwer generuje losowy token dla każdego żądania, ustawia go jako script-src 'nonce-RANDOM' w CSP i dodaje nonce="RANDOM" do prawidłowych znaczników <script>. Wstrzykniętym skryptom brakuje nonce, więc są blokowane.

'unsafe-inline' ponownie zezwala na skrypty i style wbudowane. 'unsafe-eval' ponownie zezwala na eval() i new Function(). Obie opcje znacznie osłabiają CSP — należy używać ich wyłącznie w ostateczności podczas migracji i zaplanować ich usunięcie.

CSP dostarczane za pomocą znacznika meta nie może używać dyrektywy report-uri ani innych funkcji raportowania. Zaczyna też obowiązywać później niż nagłówek — wszystko przed znacznikiem meta pozostaje niechronione. Nagłówki są zdecydowanie lepsze; znacznika meta należy używać tylko awaryjnie.

Nową politykę można przetestować bez ryzyka uszkodzenia witryny: Content-Security-Policy-Report-Only: .... Przeglądarka zgłasza naruszenia, ale ich nie blokuje, dzięki czemu można dopracować politykę tak, aby zezwalała na wszystkie prawidłowe zasoby, zanim zostanie włączone egzekwowanie.

Pominięcie style-src 'unsafe-inline' blokuje style wbudowane (często generowane przez frameworki). Pominięcie connect-src blokuje żądania AJAX do API. Zawsze należy najpierw przetestować politykę w trybie tylko raportowania i sprawdzić w konsoli, które zasoby zostały zablokowane.

Rygorystyczna polityka CSP łączy script-src 'nonce-RANDOM' 'strict-dynamic' dla skryptów z dokładną białą listą wszystkich pozostałych zasobów. 'strict-dynamic' pozwala skryptom z nonce ładować kolejne skrypty bez wymieniania każdego z nich — jest to znacznie łatwiejsze w utrzymaniu niż białe listy poszczególnych originów.

W jaki sposób CSP chroni przed atakami XSS, nawet gdy osoba atakująca skutecznie wstrzyknie znacznik script?

CSP to wymuszana przez przeglądarkę polityka ograniczająca skrypty, style, obrazy i inne zasoby, które mogą zostać załadowane. Należy dostarczać ją za pomocą nagłówka odpowiedzi (zalecane) albo znacznika meta. W przypadku potrzebnych skryptów wbudowanych należy używać nonce, unikać unsafe-inline i unsafe-eval oraz najpierw testować politykę w trybie tylko raportowania. Rygorystyczna polityka CSP z 'nonce-X' 'strict-dynamic' stanowi współczesną podstawę bezpieczeństwa.