Content Security Policy

Content Security Policy (CSP) on luettelo paikoista, joista verkkosivusto sallii sivujensa ladata komentosarjoja ja joihin se sallii lähettää tietoja. Selain estää kaiken, mitä ei ole luettelossa. Tämä suojaa kävijöitä, jos joku onnistuu lisäämään oman koodinsa sivulle.

Verkkosivusto lähettää käytäntönsä yleensä Content-Security-Policy-otsakkeena tai asettaa sen <meta>-tunnisteeseen. Käytännön kukin osa koskee yhtä sisältötyyppiä: script-src luettelee paikat, joista komentosarjoja voi ladata, ja connect-src luettelee paikat, joihin sivu voi lähettää tietoja. Verkkosivustolle lisättävä työkalu, kuten analytiikkakomentosarja, toimii vain, jos käytäntö sallii sen käyttämät osoitteet.

Lue lisää

• Content Security Policy Level 3 - W3C-määritys
• Content Security Policy (CSP) - MDN-opas
• Content Security Policy -tarkistus