Content-Security-Policy: <policy-directive>; <policy-directive>

где <policy-directive> состоит из: <directive> <value> без знаков препинания внутри.

Директивы загрузки управляют расположениями, из которых могут загружаться определенные типы ресурсов.

child-src

Определяет допустимые источники для потоков обработки данных и вложенных контекстов просмотра, загружаемых с помощью элементов, таких как <frame> и <iframe>.

Предупреждение: Вместо child-src, если вы хотите регулировать вложенные контексты просмотра и потоки обработки данных, необходимо использовать директивы frame-src и worker-src соответственно.

connect-src

Ограничивает URL-адреса, которые могут загружаться с помощью интерфейсов сценариев

default-src

Служит в качестве резервного варианта для других директив загрузки.

font-src

Указывает допустимые источники шрифтов, загружаемых с помощью @font-face.

frame-src

Указывает допустимые источники для вложенных контекстов просмотра, загружаемых с помощью таких элементов, как <frame> и <iframe>.

img-src

Указывает допустимые источники изображений и значков избранных.

manifest-src

Указывает допустимые источники файлов манифеста приложения.

media-src

Указывает допустимые источники для загрузки медиа с помощью элементов <audio>, <video> и <track>.

object-src

Указывает допустимые источники для элементов <object>, <embed> и <applet>.

Примечание: Элементы, контролируемые object-src, возможно, случайно считаются устаревшими HTML-элементами и не получают новых стандартизированных функций (таких как атрибуты безопасности sandbox или allow для <iframe>). Поэтому рекомендуется ограничить эту директиву загрузки (например, явно задать object-src 'none' по возможности).

prefetch-src Экспериментально

Указывает допустимые источники для предварительной загрузки или предварительного рендеринга.

script-src

Указывает допустимые источники ресурсов JavaScript и WebAssembly.

script-src-elem

Указывает допустимые источники элементов JavaScript <script>.

script-src-attr

Указывает допустимые источники встроенных обработчиков событий JavaScript.

style-src

Указывает допустимые источники таблиц стилей.

style-src-elem

Указывает допустимые источники для элементов таблиц стилей <style> и элементов <link> с rel="stylesheet".

style-src-attr

Указывает допустимые источники встроенных стилей, применяемых к отдельным элементам DOM.

worker-src

Указывает допустимые источники для скриптов Worker, SharedWorker или ServiceWorker.

Директивы документа управляют свойствами документа или среды потока обработки данных, к которому применяется политика.

base-uri

Ограничивает URL-адреса, которые могут использоваться в элементе документа <base>.

sandbox

Включает песочницу для запрашиваемого ресурса, аналогично атрибуту <iframe> sandbox.

Директивы навигации управляют тем, в какие места пользователь может перейти или отправить форму, например.

form-action

Ограничивает URL-адреса, которые могут использоваться в качестве цели отправки формы из данного контекста.

frame-ancestors

Указывает допустимые родительские элементы, которые могут встраивать страницу с помощью <frame>, <iframe>, <object>, <embed> или <applet>.

navigate-to Экспериментально

Ограничивает URL-адреса, к которым документ может инициировать навигацию любыми средствами, включая <form> (если form-action не указан), <a>, window.location, window.open и т. д.

Директивы отчётности контролируют процесс отчётности о нарушениях CSP. Смотрите также заголовок Content-Security-Policy-Report-Only.

report-uri Устаревшее

Инструктирует пользовательский агент сообщать о попытках нарушения Content Security Policy. Эти отчёты о нарушениях представляют собой JSON-документы, отправленные по HTTP POST запросу на указанный URI.

Предупреждение: Хотя директива report-to предназначена для замены устаревшей директивы report-uri, директива report-to пока не поддерживается во многих браузерах. Таким образом, для совместимости с текущими браузерами и одновременного добавления совместимости с будущими браузерами, поддерживающими report-to, можно указать обе директивы report-uri и report-to:

Content-Security-Policy: …; report-uri https://endpoint.example.com; report-to groupname

В браузерах, поддерживающих report-to, директива report-uri будет проигнорирована.

report-to

Вызывает SecurityPolicyViolationEvent.

require-sri-for Устаревшее Нестандартное

Требует использование SRI для скриптов или стилей на странице.

require-trusted-types-for Экспериментальное

Применяет Trusted Types в точках ввода DOM XSS.

trusted-types Экспериментальное

Используется для указания списка разрешенных политик Trusted Types. Trusted Types позволяет приложениям заблокировать точки ввода DOM XSS, чтобы принимать только неподделываемые, типизированные значения вместо строк.

upgrade-insecure-requests

Инструктирует пользовательские агенты рассматривать все небезопасные URL-адреса сайта (те, которые предоставляются по протоколу HTTP) так, как если бы они были заменены на безопасные URL-адреса (те, которые предоставляются по протоколу HTTPS). Эта директива предназначена для веб-сайтов с большим количеством устаревших небезопасных URL-адресов, которые необходимо переписать.

block-all-mixed-content Устаревшее

Запрещает загрузку любых ресурсов с использованием HTTP, когда страница загружается с использованием HTTPS.

plugin-types Устаревшее Нестандартное

Ограничивает набор плагинов, которые могут быть встроены в документ, ограничивая типы ресурсов, которые могут быть загружены.

referrer Устаревшее Нестандартное

Используется для указания информации в заголовке Referer (sic) для ссылок за пределы страницы. Используйте заголовок Referrer-Policy вместо него.

Ниже приведены общие разрешенные значения. Для подробной справки см. Значения источника CSP и документацию по отдельным директивам.

none

Не разрешит загрузку каких-либо ресурсов.

self

Разрешить ресурсы только из текущего источника.

strict-dynamic

Доверие, предоставленное скрипту на странице из-за сопроводительного nonce или хеша, распространяется на скрипты, которые он загружает.

report-sample

Требовать, чтобы в отчёте о нарушениях был образец нарушающего кода.

unsafe-inline

Разрешить использование встроенных ресурсов.

unsafe-eval

Разрешить использование динамической оценки кода, например, eval, setImmediate Нестандартное , и window.execScript Нестандартное .

unsafe-hashes

Разрешает включение определённых встроенных обработчиков событий.

unsafe-allow-redirects Экспериментальное

TBD

• Хост
  • Разрешить загрузку ресурсов только с определённого хоста, с необязательной схемой, портом и путём. Например, example.com, *.example.com, https://*.example.com:12/path/to/file.js
  • Части пути в CSP, заканчивающиеся на / соответствуют любому пути, являющемуся их префиксом. Например, example.com/api/ будет соответствовать URL-адресам, таким как example.com/api/users/new.
  • Другие части пути в CSP соответствуют точно, например, example.com/file.js будет соответствовать http://example.com/file.js и https://example.com/file.js, но не https://example.com/file.js/file2.js
• Схема
  • Разрешить загрузку ресурсов только по определённой схеме, должна всегда заканчиваться ":". Например, https:, http:, data: и т.д.

nonce-*

Криптографический nonce (используется только один раз) для разрешения скриптов. Сервер должен генерировать уникальное значение nonce каждый раз, когда он передаёт политику. Критически важно предоставить nonce, который нельзя угадать, так как иначе обойти политику ресурса будет тривиально. Используется совместно с атрибутом nonce тега script. Например, nonce-DhcnhD3khTMePgXwdayK9BsMqXjhguVV

sha*-*

sha256, sha384 или sha512, за которым следует тире и затем значение sha*. Например, sha256-jzgBGA4UWFFmpOBq0JpdsySukE1FrEN5bUpoK8Z29fY=

Работники (workers) в целом не регулируются политикой безопасности содержимого документа (или родительского работника), который их создал. Чтобы указать политику безопасности содержимого для работника, установите заголовок Content-Security-Policy в ответе на запрос, который запросил сам скрипт работника.

Исключением является случай, когда источник скрипта работника является глобальным уникальным идентификатором (например, если его URL имеет схему data или blob). В этом случае работник наследует политику безопасности содержимого документа или работника, который его создал.

Механизм CSP позволяет указывать несколько политик для ресурса, в том числе через заголовок Content-Security-Policy , заголовок Content-Security-Policy-Report-Only и элемент <meta>.

Вы можете использовать заголовок Content-Security-Policy более одного раза, как в примере ниже. Обратите особое внимание на директиву connect-src здесь. Даже если вторая политика разрешит подключение, первая политика содержит connect-src 'none'. Добавление дополнительных политик может только дополнительно ограничить возможности защищаемого ресурса, что означает, что подключение не будет разрешено и, как самая строгая политика, будет применена connect-src 'none'.

Content-Security-Policy: default-src 'self' http://example.com;
                          connect-src 'none';
Content-Security-Policy: connect-src http://example.com/;
                          script-src http://example.com/

Пример: Отключить небезопасные встроенные/eval, разрешить загрузку ресурсов (изображений, шрифтов, скриптов и т. д.) только по протоколу https:

<meta http-equiv="Content-Security-Policy" content="default-src https:" />

Пример: уже существующий сайт, использующий слишком много встроенного кода, который необходимо исправить, но при этом нужно гарантировать, что ресурсы загружаются только через HTTPS и отключить плагины:

Content-Security-Policy: default-src https: 'unsafe-eval' 'unsafe-inline'; object-src 'none'

Пример: пока не внедрять вышеуказанную политику; вместо этого просто сообщать о нарушениях, которые могли бы произойти:

Content-Security-Policy-Report-Only: default-src https:; report-uri /csp-violation-report-endpoint/

См. Руководства по безопасности веб-сайтов Mozilla для получения дополнительных примеров.

• Content-Security-Policy-Report-Only
• Узнайте о: политике безопасности контента
• Безопасность контента в WebExtensions
• Принятие строгой политики
• Оцениватель CSP - Оцените вашу политику безопасности контента