Директива Content-Security-Policy (CSP) connect-src ограничивает URL-адреса, которые можно загружать с помощью интерфейсов скриптов. Эта директива управляет следующими API:

• Атрибут ping элементов <a>
• fetch()
• fetchLater()
• XMLHttpRequest
• WebSocket
• EventSource
• Navigator.sendBeacon()

Синтаксис

Content-Security-Policy: connect-src 'none';
Content-Security-Policy: connect-src <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Ресурсы этого типа загружать нельзя. Одинарные кавычки обязательны.

<source-expression-list>

Список значений выражений источника, разделённых пробелами. Ресурсы этого типа можно загружать, если они соответствуют хотя бы одному из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

• <host-source>
• <scheme-source>
• 'self'

Примеры

Случаи нарушения

При наличии следующего заголовка CSP:

Content-Security-Policy: connect-src https://example.com/

Следующие подключения блокируются и не будут установлены:

<a ping="https://not-example.com" href="/">Link</a>
<script>
  const response = fetch("https://not-example.com/");

  const xhr = new XMLHttpRequest();
  xhr.open("GET", "https://not-example.com/");
  xhr.send();

  const ws = new WebSocket("wss://not-example.com/");

  const es = new EventSource("https://not-example.com/");

  navigator.sendBeacon("https://not-example.com/", {
    /* … */
  });
</script>

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• <a> ping
• fetch()
• XMLHttpRequest
• WebSocket
• EventSource