Política de Segurança de Conteúdo meta http-equiv

A Política de Segurança de Conteúdo é uma política imposta pelo navegador que restringe quais recursos uma página pode carregar e executar. É a defesa mais forte contra scripts entre sites: mesmo que um invasor injete uma tag <script>, o navegador se recusa a executá-la, a menos que a política permita isso.

A CSP pode ser enviada como um cabeçalho de resposta HTTP (Content-Security-Policy: ...) ou como uma tag meta no HTML: <meta http-equiv="Content-Security-Policy" content="...">. O cabeçalho é preferível; a tag meta é útil quando você não pode controlar o servidor.

default-src é a alternativa padrão para tipos de recursos não especificados. script-src, style-src, img-src, connect-src (XHR/fetch), font-src e frame-src restringem cada um o respectivo tipo. Permita explicitamente origens específicas ou use 'self' somente para a mesma origem.

'self' (entre aspas) refere-se à própria origem da página. script-src 'self' significa "executar somente scripts hospedados na mesma origem que a página". Essa é a base da maioria das políticas; adicione CDNs externos específicos quando necessário.

Por padrão, a CSP bloqueia todas as tags <script> inline e os atributos de manipuladores de eventos (onclick). Essa é a proteção mais forte contra XSS: um <script> injetado não pode ser executado porque está inline. Mova todos os scripts para arquivos externos referenciados por src.

Para scripts inline necessários, use um nonce: o servidor gera um token aleatório por solicitação, define-o como script-src 'nonce-RANDOM' na CSP e adiciona nonce="RANDOM" às tags <script> legítimas. Scripts injetados não têm o nonce e são bloqueados.

'unsafe-inline' permite novamente scripts e estilos inline. 'unsafe-eval' permite novamente eval() e new Function(). Ambos enfraquecem gravemente a CSP — use-os somente como último recurso durante uma migração e planeje removê-los.

A CSP fornecida por meio de uma tag meta não pode usar a diretiva report-uri (nem outros recursos de relatório). Ela também entra em vigor mais tarde que um cabeçalho — tudo que vier antes da tag meta fica desprotegido. Os cabeçalhos são muito melhores; use meta somente como alternativa.

Teste uma nova política sem interromper o site: Content-Security-Policy-Report-Only: .... O navegador relata as violações sem bloqueá-las, para que você possa ajustar a política até que ela permita todos os recursos legítimos antes de ativar a aplicação.

Esquecer style-src 'unsafe-inline' bloqueia estilos inline (frequentemente produzidos por estruturas de trabalho). Esquecer connect-src bloqueia AJAX para APIs. Sempre teste a política primeiro no modo somente para relatório e verifique no console quais recursos foram bloqueados.

Uma CSP rigorosa combina script-src 'nonce-RANDOM' 'strict-dynamic' para scripts com uma lista de permissões restrita para todo o restante. 'strict-dynamic' permite que scripts com nonce carreguem outros scripts sem listá-los individualmente — é muito mais fácil de manter do que listas de permissões por origem.

Como a CSP se defende contra ataques XSS mesmo quando um invasor consegue injetar uma tag de script?

A CSP é uma política imposta pelo navegador que restringe quais scripts, estilos, imagens e outros recursos podem ser carregados. Forneça-a por meio do cabeçalho de resposta (preferível) ou de uma tag meta. Use nonces para scripts inline necessários, evite unsafe-inline/unsafe-eval e teste primeiro no modo somente para relatório. Uma CSP rigorosa com 'nonce-X' 'strict-dynamic' é a base moderna.