Content Security Policy

Eine Content Security Policy (CSP) ist eine Liste, die eine Website dem Browser mit den Orten übermittelt, von denen ihre Seiten Skripte laden und an die sie Daten senden dürfen. Der Browser blockiert alles, was nicht auf der Liste steht. Das schützt Besucher, falls es jemandem gelingt, eigenen Code in eine Seite einzuschleusen.

Eine Website übermittelt ihre Richtlinie normalerweise als Content-Security-Policy-Header oder legt sie in einem <meta>-Tag fest. Jeder Teil der Richtlinie deckt eine Art von Inhalt ab: script-src listet auf, von wo Skripte geladen werden dürfen, und connect-src listet auf, wohin eine Seite Daten senden darf. Ein Tool, das Sie zu Ihrer Website hinzufügen, beispielsweise ein Analytics-Skript, funktioniert nur, wenn die Richtlinie die von ihm verwendeten Adressen erlaubt.

Mehr erfahren

• Content Security Policy Level 3 – W3C-Spezifikation
• Content Security Policy (CSP) – MDN-Leitfaden
• Content-Security-Policy-Prüfung