Content Security Policy

Una Content Security Policy (CSP) è un elenco di origini da cui un sito web comunica al browser che le sue pagine possono caricare script e a cui possono inviare dati. Il browser blocca tutto ciò che non è presente nell'elenco, proteggendo i visitatori se qualcuno riesce a inserire il proprio codice in una pagina.

Un sito invia solitamente la propria policy come intestazione Content-Security-Policy oppure la imposta in un tag <meta>. Ogni parte della policy riguarda un tipo di contenuto: script-src elenca le origini da cui è possibile caricare gli script, mentre connect-src elenca le origini a cui una pagina può inviare dati. Uno strumento aggiunto al sito, come uno script di Analytics, funziona solo se la policy consente gli indirizzi che utilizza.

Scopri di più

• Content Security Policy Level 3 - specifica W3C
• Content Security Policy (CSP) - guida MDN
• Controllo Content Security Policy