Content Security Policy: uma primeira política, ensaiada em modo de relatório

A resposta curta: a Content Security Policy (CSP) é um cabeçalho que diz ao navegador de onde o site pode carregar scripts, estilos e imagens. Se alguém injetar um script de fora, o navegador recusa-o. É forte, mas também é fácil de estragar um site com ela; por isso começa-se em modo de relatório, que só avisa e não bloqueia nada.

O que o site precisa

O quê O que fazer
O que controla Origens permitidas para scripts, estilos, imagens, tipos de letra, vídeos e ligações do site.
Modo de relatório O cabeçalho Content-Security-Policy-Report-Only regista o que bloquearia, sem bloquear. É o modo para ensaiar.
O que costuma quebrar Scripts e estilos escritos dentro da própria página, o Google Analytics e o Gestor de Etiquetas, tipos de letra de fora, vídeos incorporados: Gestor de Etiquetas.
Uma primeira política Só aceitar tudo do próprio site, e acrescentar as origens de fora que o site realmente usa.
Quando passar a bloquear Quando o registo estiver limpo durante uns dias, em todas as páginas importantes.

Como começar

1 Faça cópia do .htaccess.
2 Ponha a política em modo de relatório com uma linha simples (acrescente depois as origens de fora): Header set Content-Security-Policy-Report-Only "default-src 'self'"
3 Navegue no site com a consola do navegador aberta (F12, separador Consola): cada coisa que seria bloqueada aparece como aviso.
4 Acrescente as origens de fora que o site usa de propósito (analítica, tipos de letra, vídeo), uma de cada vez.
5 Quando já não aparecem avisos, troque para o cabeçalho que bloqueia (Content-Security-Policy) e volte a testar: Cabeçalhos de segurança.
Uma política demasiado apertada parte o site. Se passar direto ao modo que bloqueia, pode perder o menu, o formulário ou o checkout sem aviso. Teste sempre em modo de relatório, e noutro navegador. Se algo partir, volte à cópia do .htaccess.
Se o seu site mistura conteúdo http com https, resolva isso primeiro: Conteúdo misto. Outro cabeçalho que se liga com cuidado: HSTS.

Quer ajuda a ensaiar uma política para o seu site? Abra um pedido com o endereço.

Abrir pedido de suporte

VEJA TAMBÉM

Cabeçalhos de segurança explicados: o que fazem e como os acrescentar no .htaccess

HSTS explicado: forçar o https para sempre, e a armadilha de o ligar cedo demais

Conteúdo misto depois de passar a HTTPS: o cadeado que não acende

Google Tag Manager e pixels de acompanhamento: como pô-los sem tornar o site lento

ModSecurity e firewalls de aplicações web: o que fazem, e o que fazer quando um bloqueia o seu pedido

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde 5.940,00 Kz/mês (plano de 3 anos, com cupão)

Ver planos
  • 0 Utilizadores acharam útil
Esta resposta foi útil?

Artigos Relacionados

O que é um certificado SSL e qual a sua vantagem? Um certificado SSL cifra a ligação entre o navegador de um visitante e o seu site, para que senhas, números de cartão e...
Porque é que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Como redireccionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão cifrada do seu site, mesmo que escrevam ou liguem para o endereço simples http:...
Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Subdomínios esquecidos e registos DNS que apontam para o vazio: como são sequestrados A resposta curta: quando deixa de usar um serviço mas esquece o registo DNS que apontava para ele (um CNAME para uma loj...