Директива Content-Security-Policy report-to указывает имя конечной точки, которую браузер должен использовать для отправки сообщений о нарушениях CSP.

При нарушении CSP формируется отчёт, содержащий сериализованный экземпляр объекта CSPViolationReport. Этот отчёт отправляется по URL, соответствующему имени конечной точки, с использованием общих механизмов, определённых в Reporting API.

Сервер должен отдельно предоставлять соответствие между именами конечных точек и соответствующими им URL в HTTP-заголовке ответа Reporting-Endpoints.

Синтаксис

Content-Security-Policy: …; report-to <endpoint_name>

<endpoint_name> — это имя конечной точки, указанное в HTTP-заголовке ответа Reporting-Endpoints. Это также может быть имя группы, указанной сервером в HTTP-заголовке ответа Report-To.

Синтаксис отчёта о нарушении

Отчёт о нарушении CSP — это сериализованный в JSON объект CSPViolationReport со свойством type, значение которого равно "csp-violation". Отчёты отправляются на целевые конечные точки с помощью операции POST с типом содержимого Content-Type application/reports+json.

JSON для одного отчёта может выглядеть так:

{
  "age": 53531,
  "body": {
    "blockedURL": "inline",
    "columnNumber": 39,
    "disposition": "enforce",
    "documentURL": "https://example.com/csp-report",
    "effectiveDirective": "script-src-elem",
    "lineNumber": 121,
    "originalPolicy": "default-src 'self'; report-to csp-endpoint-name",
    "referrer": "https://www.google.com/",
    "sample": "console.log(\"lo\")",
    "sourceFile": "https://example.com/csp-report",
    "statusCode": 200
  },
  "type": "csp-violation",
  "url": "https://example.com/csp-report",
  "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36"
}

Примечания по использованию

Директива report-to предназначена для замены report-uri, а браузеры, поддерживающие report-to, игнорируют директиву report-uri. Однако, пока report-to не получит широкую поддержку, можно указать обе директивы, как показано ниже:

Content-Security-Policy: …; report-uri https://endpoint.example.com; report-to endpoint_name

Обратите внимание: в других примерах в этой статье report-uri не показана.

Примеры

Настройка конечной точки для отчётов о нарушениях CSP

Сервер может задать соответствие между именами конечных точек и URL с помощью заголовка Reporting-Endpoints в HTTP-ответе. Можно использовать любое имя: в этом примере мы выбрали name-of-endpoint.

Reporting-Endpoints: name-of-endpoint="https://example.com/csp-reports"

Сервер может указать это имя конечной точки в директиве report-to в качестве адресата для отправки отчётов о нарушениях CSP:

Content-Security-Policy: default-src 'self'; report-to name-of-endpoint

Спецификации

Совместимость с браузерами

См. также

• Reporting-Endpoints
• Content-Security-Policy
• Content-Security-Policy-Report-Only
• Reporting API