Please enable JavaScript.

Coggle requires JavaScript to display documents.

Content Security Policy (dyrektywy (*-src (script-src (określenie źródeł z…

- - - - unsafe-eval
        
        nawet używając słowa kluczowego unsafe-inline domyślnie blokowane jest użycie funkcji eval, setTimeout czy Function, trzeba wtedy użyć kolejnego słowa kluczowego 'unsafe-eval'
        
        w praktyce wiele frameworków z których korzystamy może wymagać tego słowa kluczowego gdyż gdzieś pod spodem korzystają z funkcji typu eval
      - słowo kluczowe pozwalające na wykonywanie kodu JS z HTML, co de facto przeczy idei obrony przed XSS, ale niektóre skrypty np. trackingowe lub generowane dynamicznie potrzebują być osadzone w HTML
    - - wprowadza przechodniość zaufania
        
        jeżeli skrypt dodany na stronie posiada poprawną wartość nonce i zawiera odnośnik do innego zewnętrznego skryptu który należy pobrać a danej domeny nie ma na liście dopuszczalnych, to i tak zostanie pobrany i wykonany
      - przeglądarka nie bierze pod uwagę ani listy hostów z których mogą być wykonywane skrypty ani wyrażenia unsafe-inline
      - ex. do zachowania kompatybilności wstecznej
        C-S-P: script-src https://sekurak.pl 'nonce-abcd' 'unsafe-inline' 'strict-dynamic'
- - - - określenie źródeł dla Web Workers API oraz elementów typu frame i iframe
    - - określenie źródeł dla API js'owych które pozwalają łączyć się z zewn. zasobami
    - - określenie źródeł z których mogą być ładowane elementy audio i wideo
    - - określenie źródeł z których mogą być ładowane zewn. skrypty
      - wartość 'self' w tym wypadku zezwala na ładowanei skryptów tylko z aktualnej domeny oraz blokuje możliwość ich wykonania jeśli umeszczono je w kodzie HTML, np. za pomocą <script>
    - - łączy wszystkie powyższe, jest domyślną w przypadku braku bardziej szczegółowych
- - - - niestety uciążliwe w utrzymaniu jeśli kod zmienia się stosunkowo często a skryptów jest wiele; trzeba ponadto dorzucić hash do nagłówka CSP, np.
        C-S-P: script-src 'sha256-asd0gHuw....'
    - - dodanie do tagu <script> atrybutu nonce którego wartosć jest równa wartości nonce podanej w nagłówku CSP;
      - wartośc ta musi być różna za każdym razem gdy odświeżamy stronę i odpowiednio długa
      - w kryptografii pojęcie to oznacza wartość jednorazowego użytku
      - bywa też używany gdy wiele skryptów jest ładowanych z zewn. źródeł i trudno byłoby utrzymać ich listę w nagłówku CSP
      - C-S-P: script-src 'nonce-4bFgtm82msgIOPsys3mN'
        <script nonce = "4bFgtm82msgIOPsys3mN"> ... </script>
- - - - niestety bardzo słabe wsparcie przeglądarek
    - - zapytania http automatycznie zostaną podniesione do https