Основная цель CSP — смягчить и отслеживать атаки XSS. Атаки XSS используют доверие браузера к содержимому, полученному от сервера. Вредоносные скрипты выполняются браузером жертвы, потому что браузер доверяет источнику содержимого, даже если оно не поступает от предполагаемого источника.

CSP позволяет администраторам серверов уменьшить или устранить векторы, посредством которых может произойти XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. Совместимый с CSP браузер будет затем выполнять только скрипты, загруженные из файлов-источников, полученные от разрешенных доменов, игнорируя все другие скрипты (включая встроенные скрипты и атрибуты обработки событий HTML).

В качестве крайней меры защиты сайты, которые не хотят, чтобы скрипты выполнялись вообще, могут запретить выполнение скриптов глобально.

Помимо ограничения доменов, из которых может загружаться контент, сервер может указать, какие протоколы разрешены; например (и, желательно, с точки зрения безопасности), сервер может указать, что весь контент должен загружаться с использованием HTTPS. Полная стратегия обеспечения безопасности передачи данных включает не только применение HTTPS для передачи данных, но также и маркировку всех куки с атрибутом secure и предоставление автоматических редиректов с HTTP-страниц на их HTTPS-аналоги. Сайты также могут использовать заголовок HTTP Strict-Transport-Security, чтобы гарантировать, что браузеры подключаются к ним только по защищённому каналу.

Настройка политики безопасности контента включает добавление заголовка HTTP Content-Security-Policy к веб-странице и присвоение значений для управления тем, какие ресурсы пользовательский агент разрешено загружать для этой страницы. Например, страница, которая загружает и отображает изображения, может разрешить загрузку изображений откуда угодно, но ограничить действие формы определённым конечным пунктом. Правильно разработанная политика безопасности контента помогает защитить страницу от межсайтовой атаки со скриптированием. Эта статья объясняет, как правильно создавать такие заголовки и предоставляет примеры.

Вы можете использовать заголовок HTTP Content-Security-Policy для указания своей политики, например так:

Content-Security-Policy: policy

Политика представляет собой строку, содержащую директивы политики, описывающие вашу политику безопасности контента.

Политика описывается с помощью набора директив политики, каждая из которых описывает политику для определённого типа ресурсов или области политики. Ваша политика должна включать директиву политики default-src, которая является резервной для других типов ресурсов, когда у них нет собственных политик (полный список см. в описании директивы default-src). Политика должна включать директиву default-src или script-src для предотвращения выполнения встроенных скриптов, а также блокирования использования eval(). Политика должна включать директиву default-src или style-src для ограничения применения встроенных стилей из элемента <style> или атрибута style. Существуют определённые директивы для широкого спектра типов элементов, чтобы каждый тип мог иметь свою политику, включая шрифты, фреймы, изображения, аудио- и видео-медиа, скрипты и рабочие процессы.

Полный список директив политики см. на странице справки для заголовка Content-Security-Policy.

В этом разделе приведены примеры некоторых распространённых сценариев политики безопасности.

Администратор веб-сайта хочет, чтобы весь контент поступал от собственного происхождения сайта (это исключает дочерние домены).

Content-Security-Policy: default-src 'self'

Администратор веб-сайта хочет разрешить контент из доверенного домена и всех его дочерних доменов (при этом не обязательно, чтобы это был тот же домен, что и CSP).

Content-Security-Policy: default-src 'self' example.com *.example.com

Администратор веб-сайта хочет разрешить пользователям веб-приложения включать изображения из любого источника в свой собственный контент, но ограничить аудио- или видео-медиа доверенными поставщиками, а все скрипты только определённому серверу, который хранит доверенный код.

Content-Security-Policy: default-src 'self'; img-src *; media-src example.org example.net; script-src userscripts.example.com

Здесь по умолчанию контент разрешён только из происхождения документа, с указанными исключениями:

• Изображения могут загружаться откуда угодно (обратите внимание на символ «*» — универсальный символ).
• Медиа разрешено только из example.org и example.net (и не из дочерних сайтов этих доменов).
• Исполняемые скрипты разрешены только из userscripts.example.com.

Администратор веб-сайта онлайн-банка хочет убедиться, что весь его контент загружается с использованием TLS, чтобы предотвратить перехват запросов злоумышленниками.

Content-Security-Policy: default-src https://onlinebanking.example.com

Сервер разрешает доступ только к документам, загружаемым именно по HTTPS через единственный источник onlinebanking.example.com.

Администратор веб-сайта веб-почты хочет разрешить HTML в письмах, а также изображения, загружаемые откуда угодно, но не JavaScript или другой потенциально опасный контент.

Content-Security-Policy: default-src 'self' *.example.com; img-src *

Обратите внимание, что в этом примере не указана директива script-src; с примерной CSP на этом сайте используется настройка, указанная в директиве default-src, что означает, что скрипты могут загружаться только с исходного сервера.

Для упрощения развертывания CSP может быть развернута в режиме отслеживания нарушений. Политика не применяется, но любые нарушения сообщаются в предоставленный URI. Кроме того, заголовок только для отслеживания нарушений можно использовать для тестирования будущей версии политики без её фактического развертывания.

Вы можете использовать заголовок HTTP Content-Security-Policy-Report-Only для указания своей политики, например так:

Content-Security-Policy-Report-Only: policy

Если и заголовок Content-Security-Policy-Report-Only, и заголовок Content-Security-Policy присутствуют в одном ответе, обе политики соблюдаются. Политика, указанная в заголовках Content-Security-Policy, применяется, в то время как политика Content-Security-Policy-Report-Only генерирует отчёты, но не применяется.

По умолчанию отчёты о нарушениях не отправляются. Для включения отчётов о нарушениях необходимо указать директиву политики report-uri, указав по крайней мере один URI, куда нужно доставлять отчёты:

Content-Security-Policy: default-src 'self'; report-uri http://reportcollector.example.com/collector.cgi

Затем необходимо настроить сервер на получение отчётов; он может хранить или обрабатывать их любым способом, который вы сочтёте уместным.

Объект отчета JSON содержит следующие данные:

blocked-uri

URI ресурса, загрузка которого была заблокирована политикой Content Security Policy. Если заблокированный URI имеет другой источник, чем document-uri, то заблокированный URI усекается, содержа в себе только схему, хост и порт.

disposition

Либо "enforce", либо "report", в зависимости от того, используется заголовок Content-Security-Policy-Report-Only или заголовок Content-Security-Policy.

document-uri

URI документа, в котором произошло нарушение.

effective-directive

Директива, применение которой привело к нарушению. Некоторые браузеры могут предоставлять разные значения, например, Chrome может предоставлять style-src-elem/style-src-attr, даже если фактически применялась директива style-src.

original-policy

Исходная политика, указанная в заголовке Content-Security-Policy HTTP.

referrer Устаревшее Нестандартное

Ссылка (referrer) документа, в котором произошло нарушение.

script-sample

Первые 40 символов встроенного скрипта, обработчика событий или стиля, которые привели к нарушению. Применимо только к нарушениям script-src* и style-src*, когда они содержат 'report-sample'

status-code

HTTP код состояния ресурса, на котором был создан глобальный объект.

violated-directive

Название раздела политики, который был нарушен.

Рассмотрим страницу по адресу http://example.com/signup.html. Она использует следующую политику, запрещающую всё, кроме стилей из cdn.example.com.

Content-Security-Policy: default-src 'none'; style-src cdn.example.com; report-uri /_/csp-reports

HTML страницы signup.html выглядит так:

<!DOCTYPE html>
<html lang="en-US">
  <head>
    <meta charset="UTF-8" />
    <title>Sign Up</title>
    <link rel="stylesheet" href="css/style.css" />
  </head>
  <body>
    Here be content.
  </body>
</html>

Вы видите ошибку? Стилей разрешено загружать только из cdn.example.com, но сайт пытается загрузить стиль из собственного источника (http://example.com). Браузер, способный применять CSP, отправит следующий отчет о нарушении как POST-запрос на http://example.com/_/csp-reports, когда страница будет посещена:

{
  "csp-report": {
    "document-uri": "http://example.com/signup.html",
    "referrer": "",
    "blocked-uri": "http://example.com/css/style.css",
    "violated-directive": "style-src cdn.example.com",
    "original-policy": "default-src 'none'; style-src cdn.example.com; report-uri /_/csp-reports"
  }
}

Как видите, отчет включает полный путь к нарушающему ресурсу в blocked-uri. Это не всегда так. Например, если signup.html пытался загрузить CSS из http://anothercdn.example.com/stylesheet.css, браузер не включит полный путь, а только источник (http://anothercdn.example.com). Спецификация CSP объясняет это странное поведение. В кратком изложении, это делается для предотвращения утечки конфиденциальной информации о ресурсах других источников.

Существует определенная несовместимость в некоторых версиях веб-браузера Safari, при которой, если заголовок Content Security Policy установлен, но заголовок Same Origin нет, браузер заблокирует контент, размещенный на собственном сервере, и сторонний контент, и неправильно сообщит, что это связано с тем, что Content Security Policy не разрешает данный контент.

• Content-Security-Policy Заголовок HTTP
• Content-Security-Policy-Report-Only Заголовок HTTP
• Content Security в WebExtensions
• CSP в Web Workers
• Конфиденциальность, разрешения и безопасность информации
• CSP Evaluator - Оцените вашу Content Security Policy