Политика безопасности содержимого: meta http-equiv

Политика безопасности содержимого — это политика, принудительно применяемая браузером и ограничивающая ресурсы, которые страница может загружать и выполнять. Это самая сильная защита от межсайтового выполнения сценариев: даже если злоумышленник внедрит тег <script>, браузер откажется его выполнять, если политика этого не разрешает.

CSP можно передать в заголовке HTTP-ответа (Content-Security-Policy: ...) или в виде мета-тега HTML: <meta http-equiv="Content-Security-Policy" content="...">. Заголовок предпочтительнее; мета-тег полезен, когда у вас нет доступа к настройкам сервера.

default-src — резервное правило для неуказанных типов ресурсов. Директивы script-src, style-src, img-src, connect-src (XHR/получение данных), font-src и frame-src ограничивают каждый свой тип. Разрешайте конкретные источники или используйте 'self', чтобы разрешить только тот же источник.

'self' (в кавычках) обозначает собственный источник страницы. script-src 'self' означает: "выполнять только сценарии, размещённые в том же источнике, что и страница". Это основа большинства политик; при необходимости добавляйте конкретные внешние сети доставки содержимого.

По умолчанию CSP блокирует все встроенные теги <script> и атрибуты обработчиков событий (onclick). Это самая сильная защита от XSS: внедрённый <script> не может выполниться, потому что он встроен в страницу. Перенесите все сценарии во внешние файлы, на которые ссылается src.

Для необходимых встроенных сценариев используйте одноразовый токен: сервер генерирует случайный токен для каждого запроса, задаёт его как script-src 'nonce-RANDOM' в CSP и добавляет nonce="RANDOM" к легитимным тегам <script>. У внедрённых сценариев нет этого токена, поэтому они блокируются.

'unsafe-inline' снова разрешает встроенные сценарии и стили. 'unsafe-eval' снова разрешает eval() и new Function(). Обе директивы значительно ослабляют CSP — используйте их только как крайний вариант во время миграции и запланируйте их удаление.

CSP, переданная через мета-тег, не может использовать директиву report-uri и другие функции отчётности. Кроме того, она начинает действовать позже, чем заголовок: всё, что находится до мета-тега, не защищено. Заголовки строго предпочтительнее; используйте мета-тег только как резервный вариант.

Проверьте новую политику, не нарушая работу сайта: Content-Security-Policy-Report-Only: .... Браузер сообщает о нарушениях, но не блокирует их, поэтому вы можете уточнять политику, пока она не начнёт разрешать все легитимные ресурсы, а затем включить принудительное применение.

Если забыть style-src 'unsafe-inline', будут заблокированы встроенные стили, которые часто создаются фреймворками. Если забыть connect-src, будут заблокированы AJAX-запросы к интерфейсам. Всегда сначала проверяйте политику в режиме только отчётности и просматривайте консоль в поисках заблокированных ресурсов.

Строгая CSP объединяет script-src 'nonce-RANDOM' 'strict-dynamic' для сценариев с жёстким списком разрешений для остальных ресурсов. 'strict-dynamic' позволяет сценариям с одноразовым токеном загружать дополнительные сценарии без перечисления каждого из них — это гораздо проще поддерживать, чем списки разрешённых источников.

CSP — это политика, принудительно применяемая браузером и ограничивающая загрузку сценариев, стилей, изображений и других ресурсов. Передавайте её через заголовок ответа (предпочтительно) или мета-тег. Используйте одноразовые токены для необходимых встроенных сценариев, избегайте unsafe-inline и unsafe-eval, сначала проверяйте политику в режиме только отчётности. Строгая CSP с 'nonce-X' 'strict-dynamic' — современная базовая стратегия.