Content Security Policy

Seiceálann Silktide go ndearbhaíonn gach leathanach Content Security Policy, beart slándála caighdeánach a insíonn do bhrabhsálaithe cé na foinsí scripteanna, íomhánna agus ábhair eile atá ceadaithe don leathanach a úsáid.

Seachadtar Content Security Policy (CSP) mar cheanntásc HTTP nó mar chlib mheiteashonraí, mar shampla:

Content-Security-Policy: default-src 'self'; script-src 'self' scripts.example.com

Insíonn an sampla seo don bhrabhsálaí ábhar a luchtú ó d'fhearann féin amháin, mar aon le scripteanna ó óstach iontaofa amháin.

Cén fáth a bhfuil tábhacht leis seo

Gan CSP, ritheann leathanach cibé rud a thugtar dó. Má éiríonn le hionsaitheoir script a instealladh — trí chlib tríú páirtí atá curtha i mbaol, réimse tráchtaireachta leochaileach, nó líonra fógraíochta fuadaithe — forghníomhaíonn an brabhsálaí í le rochtain iomlán ar an leathanach, lena n-áirítear aon rud a chlóscríobhann do chuairteoirí. Tá an cineál seo ionsaithe, scripteáil trasláithreáin, fós ar cheann de na bealaí is coitianta a chuirtear suíomhanna gréasáin i mbaol.

Is é CSP an líontán sábhála ar thaobh an bhrabhsálaí: ní luchtaítear ábhar insteallta ó fhoinse neamhcheadaithe. Déanann sé doiciméadú freisin ar na tríú páirtithe lena ndéanann do leathanaigh cumarsáid, rud a chabhraíonn le comhlíonadh rialachán príobháideachais ar nós an RGCS a léiriú.

Conas é a shocrú

1. Liostaigh na foinsí dlisteanacha óna luchtaíonn do leathanaigh ábhar: d'fhearann féin, do CDN, Analytics, clónna agus meáin leabaithe.
2. Scríobh polasaí nach gceadaíonn ach na foinsí sin. Tosaigh go dian, mar shampla default-src 'self', agus cuir foinsí sonracha le haghaidh gach cineáil ábhair (script-src, img-src, style-src) de réir mar is gá.
3. Cumraigh do fhreastalaí gréasáin, ardán óstála, nó CDN chun an polasaí a sheoladh mar cheanntásc Content-Security-Policy ar gach leathanach. Mura féidir leat ceanntásca a athrú, oibríonn clib <meta http-equiv="Content-Security-Policy"> i gceann an leathanaigh freisin, cé gur fearr an ceanntásc.
4. Déan tástáil sula gcuireann tú i bhfeidhm é: seol an polasaí mar Content-Security-Policy-Report-Only ar dtús, agus féach ar chonsól an bhrabhsálaí le haghaidh ábhair a bheadh curtha faoi bhac. Tabhair faoi deara go lorgaíonn an seiceáil seo an ceanntásc forfheidhmithe, mar sin ní éiríonn le polasaí tuairiscithe amháin.

Conas a dhéanann Silktide tástáil air seo

1. Luchtaigh gach leathanach agus bailigh a cheanntásca HTTP mar aon le haon chlibeanna meiteashonraí http-equiv ar an leathanach, a gcaitheann brabhsálaithe leo ar an mbealach céanna.
2. Lorg luach Content-Security-Policy i gceachtar áit.
3. Tuairiscigh an leathanach mura bhfuil ceachtar acu i láthair nó má tá an luach folamh.
4. Ní thugann Silktide breithiúnas ar cháilíocht an pholasaí — ach ar cibé acu atá ceann ann.

Fabhtcheartú

Shocraigh mé polasaí ach teipeann ar an seiceáil fós

Deimhnigh go bhfuil an ceanntásc le feiceáil ar na leathanaigh bheachta atá á scanadh — uaireanta ní chumraítear polasaithe ach don leathanach baile nó d'óstach fíorúil amháin. Is féidir leat na ceanntásca a sheolann leathanach ar ais a fheiceáil in uirlisí forbróra do bhrabhsálaí, faoin gcluaisín Líonra.

An mbrisfidh CSP mo shuíomh gréasáin?

Is féidir le polasaí atá ró-dhian bac a chur ar do scripteanna nó do stíleanna féin. Sin é an fáth a moltar go láidir tástáil a dhéanamh le Content-Security-Policy-Report-Only ar dtús — tuairiscíonn sé sáruithe gan bac a chur ar aon rud.

Tuilleadh eolais

• Content Security Policy (MDN)
• Content-Security-Policy header (MDN)
• Strict Transport Security