Polisi Diogelwch Cynnwys

Mae Silktide yn gwirio bod pob tudalen yn datgan Polisi Diogelwch Cynnwys, sef mesur diogelwch safonol sy'n dweud wrth borwyr pa ffynonellau o sgriptiau, delweddau a chynnwys arall y caniateir i'r dudalen eu defnyddio.

Caiff Polisi Diogelwch Cynnwys (CSP) ei gyflwyno fel neu dag meta, er enghraifft:

Content-Security-Policy: default-src 'self'; script-src 'self' scripts.example.com

Mae'r enghraifft hon yn dweud wrth y porwr am lwytho cynnwys o'ch parth eich hun yn unig, yn ogystal â sgriptiau o un gwesteiwr dibynadwy.

Pam mae hyn yn bwysig

Heb CSP, mae tudalen yn rhedeg beth bynnag a roddir iddi. Os bydd ymosodwr yn llwyddo i fewnosod sgript — drwy dag trydydd parti sydd wedi'i beryglu, maes sylwadau bregus, neu rwydwaith hysbysebu sydd wedi'i herwgipio — mae'r porwr yn ei gweithredu gyda mynediad llawn i'r dudalen, gan gynnwys unrhyw beth y mae'ch ymwelwyr yn ei deipio. Mae'r math hwn o ymosodiad, sgriptio traws-safle, yn parhau i fod yn un o'r ffyrdd mwyaf cyffredin y caiff gwefannau eu peryglu.

CSP yw'r rhwyd ddiogelwch ar ochr y porwr: nid yw cynnwys wedi'i fewnosod o ffynhonnell anghymeradwy yn llwytho o gwbl. Mae hefyd yn dogfennu pa drydydd bartïon y mae eich tudalennau'n cyfathrebu â nhw, sy'n helpu wrth ddangos cydymffurfiaeth â rheoliadau preifatrwydd megis .

Sut i'w drwsio

Rhestrwch y ffynonellau dilys y mae eich tudalennau'n llwytho cynnwys ohonynt: eich parth eich hun, eich , dadansoddeg, ffontiau, a chyfryngau wedi'u mewnblannu.
Ysgrifennwch bolisi sy'n caniatáu'r ffynonellau hynny yn unig. Dechreuwch yn gaeth, er enghraifft default-src 'self', ac ychwanegwch ffynonellau penodol fesul math o gynnwys (script-src, img-src, style-src) yn ôl yr angen.
Ffurfweddwch eich gweinydd gwe, platfform cynnal, neu CDN i anfon y polisi fel y pennawd Content-Security-Policy ar bob tudalen. Os na allwch newid penawdau, mae tag <meta http-equiv="Content-Security-Policy"> ym mhen y dudalen hefyd yn gweithio, er mai'r pennawd sy'n cael ei ffafrio.
Profwch cyn ei orfodi: anfonwch y polisi fel Content-Security-Policy-Report-Only yn gyntaf, a gwyliwch gonsol y porwr am gynnwys a fyddai wedi'i rwystro. Sylwch fod y gwiriad hwn yn chwilio am y pennawd gorfodol, felly nid yw polisi adrodd yn unig yn ei basio.

Sut mae Silktide yn profi hyn

Llwythwch bob tudalen a chasglwch ei phenawdau HTTP ynghyd ag unrhyw dagiau meta http-equiv yn y dudalen, y mae porwyr yn eu trin yn yr un ffordd.
Chwiliwch am werth Content-Security-Policy yn y naill le neu'r llall.
Rhowch wybod am y dudalen os nad yw'r naill na'r llall yn bresennol neu os yw'r gwerth yn wag.
Nid yw Silktide yn barnu ansawdd y polisi — dim ond ei fod yn bodoli.

Datrys problemau

Rwyf wedi gosod polisi ond mae'r gwiriad yn dal i fethu

Cadarnhewch fod y pennawd yn ymddangos ar yr union dudalennau sy'n cael eu sganio — weithiau caiff polisïau eu ffurfweddu ar gyfer yr hafan neu un gwesteiwr rhithwir yn unig. Gallwch weld y penawdau y mae tudalen yn eu dychwelyd yn offer datblygwr eich porwr, o dan y tab Rhwydwaith.

A fydd CSP yn torri fy ngwefan?

Gall polisi sy'n rhy gaeth rwystro eich sgriptiau neu arddulliau eich hun. Dyna pam y mae profi gyda Content-Security-Policy-Report-Only yn gyntaf yn cael ei argymell yn gryf — mae'n rhoi gwybod am dorri'r rheolau heb rwystro dim.