📎 CSP: Ваш щит от XSS-атак
Content Security Policy (CSP) — это стандарт безопасности, который контролирует, какие ресурсы может загружать ваша веб-страница.
1. Основная задача
Защита от XSS-атак (межсайтового скриптинга), когда злоумышленники внедряют вредоносный код на ваш сайт.
2. Ключевые директивы
-default-src— источники по умолчанию
-script-src— откуда загружать JavaScript
-style-src— источники CSS
-img-src— источники изображений
Примеры использования
Базовая защита:
Content-Security-Policy: default-src 'self';
Разрешить доверенные CDN:
Content-Security-Policy: script-src 'self' https://trustedcdn.com;
3. Методы авторизации контента
Nonce — уникальный токен для каждой загрузки:
<script nonce="abc123">console.log('Разрешено');</script>
Hash — проверка по контрольной сумме:
Content-Security-Policy: script-src 'sha256-abc123...';
💫 Строгий режим
Максимальная защита с явным "белым списком" всех ресурсов и запретом на
unsafe-inline и unsafe-eval.✨ Тестирование
Используйте режим
Content-Security-Policy-Report-Only для мониторинга нарушений без блокировки контента.📎 Статья
🎙 Новости
📝 База вопросов