Заголовок HTTP-ответа Report-To позволяет администраторам веб-сайтов определять именованные группы конечных точек, которые можно использовать в качестве адресатов для отчётов о предупреждениях и ошибках, таких как отчёты о нарушениях CSP, отчёты Cross-Origin-Opener-Policy, отчёты об устаревших функциях и другие общие отчёты о нарушениях.

Report-To часто используется вместе с другими заголовками, которые выбирают группу конечных точек для определённого типа отчётов. Например, директива report-to заголовка Content-Security-Policy позволяет выбрать группу для отправки отчётов о нарушениях CSP.

Синтаксис

Report-To: <json-field-value>

<json-field-value>

Одно или несколько определений групп конечных точек в виде массива JSON без окружающих маркеров [ и ]. Каждый объект в массиве содержит следующие элементы:

group

Имя группы конечных точек.

max_age

Время в секундах, в течение которого браузер должен кэшировать конфигурацию отправки отчётов.

endpoints

Массив из одного или нескольких URL-адресов, на которые следует отправлять отчёты этой группы.

Примеры

Настройка конечной точки для отчётов о нарушениях CSP

В этом примере показано, как сервер может использовать Report-To для определения группы конечных точек, а затем указать эту группу в качестве адресата для отправки отчётов о нарушениях CSP.

Сначала сервер может отправить ответ с заголовком HTTP-ответа Report-To, как показано ниже. В нём указывается группа конечных точек url с именем csp-endpoints.

Report-To: { "group": "csp-endpoints",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/reports" },
                { "url": "https://backup.com/reports" }
              ] }

Затем сервер может указать, что эта группа должна быть адресатом отчётов о нарушениях CSP, задав имя группы в качестве значения директивы report-to:

Content-Security-Policy: script-src https://example.com/; report-to csp-endpoints

С учётом приведённых выше заголовков любые нарушения CSP script-src приведут к отправке отчётов о нарушениях на оба значения url, перечисленных в Report-To.

Указание нескольких групп для отправки отчётов

В приведённом ниже примере показан заголовок Report-To, в котором указано несколько групп конечных точек. Обратите внимание, что у каждой группы уникальное имя и что группы не заключены в маркеры массива.

Report-To: { "group": "csp-endpoint-1",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/csp-reports" }
              ] },
            { "group": "hpkp-endpoint",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/hpkp-reports" }
              ] }

Мы можем выбрать группу конечных точек в качестве адресата отчётов о нарушениях по имени — так же, как в предыдущем примере:

Content-Security-Policy: script-src https://example.com/; report-to csp-endpoint-1

Спецификации

Этот заголовок больше не входит ни в одну спецификацию. Ранее он входил в состав Reporting API.

Совместимость с браузерами

См. также

• Reporting API и заголовок Reporting-Endpoints
• Директива CSP report-to
• Заголовки Content-Security-Policy и Content-Security-Policy-Report-Only
• Руководство «Политика безопасности контента (CSP)»