Content Security Policy: uma primeira política, ensaiada em modo de relatório

· 37 visualizações· 3 min de leitura

A resposta curta: a Content Security Policy (CSP) é um cabeçalho que diz ao navegador de onde o site pode carregar scripts, estilos e imagens. Se alguém injetar um script de fora, o navegador recusa-o. É forte, mas também é fácil de estragar um site com ela; por isso começa-se em modo de relatório, que só avisa e não bloqueia nada.

O que o site precisa

O quê O que fazer
O que controla Origens permitidas para scripts, estilos, imagens, tipos de letra, vídeos e links do site.
Modo de relatório O cabeçalho Content-Security-Policy-Report-Only registra o que bloquearia, sem bloquear. É o modo para ensaiar.
O que costuma quebrar Scripts e estilos escritos dentro da própria página, o Google Analytics e o Gerenciador de Etiquetas, tipos de letra de fora, vídeos incorporados: Gerenciador de Etiquetas.
Uma primeira política Só aceitar tudo do próprio site, e acrescentar as origens de fora que o site realmente usa.
Quando passar a bloquear Quando o registro estiver limpo durante uns dias, em todas as páginas importantes.

Como começar

1 Faça cópia do .htaccess.
2 Ponha a política em modo de relatório com uma linha simples (acrescente depois as origens de fora): Header set Content-Security-Policy-Report-Only "default-src 'self'"
3 Navegue no site com a console do navegador aberta (F12, aba Console): cada coisa que seria bloqueada aparece como aviso.
4 Acrescente as origens de fora que o site usa de propósito (analítica, tipos de letra, vídeo), uma de cada vez.
5 Quando já não aparecem avisos, troque para o cabeçalho que bloqueia (Content-Security-Policy) e volte a testar: Cabeçalhos de segurança.
Uma política demais apertada parte o site. Se passar direto ao modo que bloqueia, pode perder o menu, o formulário ou o checkout sem aviso. Teste sempre em modo de relatório, e em outro navegador. Se algo partir, volte à cópia do .htaccess.
Se o seu site mistura conteúdo http com https, resolva isso primeiro: Conteúdo misto. Outro cabeçalho que se liga com cuidado: HSTS.

Quer ajuda a ensaiar uma política para o seu site? Abra um pedido com o endereço.

Abrir pedido de suporte

VEJA TAMBÉM

Cabeçalhos de segurança explicados: o que fazem e como os acrescentar no .htaccess

HSTS explicado: forçar o https para sempre, e a armadilha de o ligar cedo demais

Conteúdo misto depois de passar a HTTPS: o cadeado que não acende

Google Tag Manager e pixels de acompanhamento: como pô-los sem tornar o site lento

ModSecurity e firewalls de aplicações web: o que fazem, e o que fazer quando um bloqueia o seu pedido

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde R$ 36,30/mês (plano de 3 anos, com cupom)

Ver planos
Esta resposta foi útil? Sua resposta nos ajuda a melhorar este artigo.

Artigos Relacionados

Segurança 1 575 O que é um certificado SSL e qual a sua vantagem? Um certificado SSL criptografia a conexão entre o navegador de um visitante e o seu site, para que senhas, números de ca...
Segurança 1 400 Por que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Segurança 2 309 Como redirecionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão criptografada do seu site, mesmo que escrevam ou liguem para o endereço simples...
Segurança 1 555 Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Segurança 1 509 Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Segurança 39 Subdomínios esquecidos e registros DNS que apontam para o vazio: como são sequestrados A resposta curta: quando deixa de usar um serviço mas esquece o registro DNS que apontava para ele (um CNAME para uma lo...