Content Security Policy
Inhalts-Sicherheitsrichtlinie
Inhalts-Sicherheitsrichtlinie, oder CSP, ist eine HTTP-Regel für Browserinhalte. Sie begrenzt, welche Dateien geladen und welche Skripte ausgeführt werden dürfen.
Ein weiteres Beispiel
Ein Banking-SPA startet mit `Content-Security-Policy-Report-Only` und entfernt Inline-Handler. Danach wird `script-src 'nonce-r4…' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'` durchgesetzt. Jede Antwort erhält eine neue, schwer zu erratende Nonce. Ausgewählte Verstoßberichte zeichnen keine Kunden-URLs auf.
Hauptteile
- 01Richtlinienaustellung
- 02Abrufen und Dokumentieren von Anweisungen
- 03Verstöße melden und Einführung
Verwenden Sie es, wenn
Verwenden Sie eine getestete, strikte CSP als zusätzliche Verteidigung, vorzugsweise mit Nonces oder Hashes. Überprüfen Sie Berichte, bevor Sie eine geänderte Richtlinie vollständig aktivieren.
Nutze es nicht, wenn
Behandle breite `*`- oder `unsafe-inline`-Regeln nicht als starke Sicherheit und verwende keine wiederverwendbaren, vorhersehbaren Nonces. CSP ersetzt nicht die normale XSS-Prävention.
In Code verwendeter Name
Content-Security-Policy response header with nonces/hashes and restrictive directives Vor dem Ausliefern
Check contracts and invariants, authorization, and input limits. Test retries, one-time effects, timeouts, and partial failures. Verify data integrity, compatibility, monitoring, recovery, and rollback.
Outcome: Complete the task with Inhalts-Sicherheitsrichtlinie (Content Security Policy). User context: Ein Banking-SPA startet mit `Content-Security-Policy-Report-Only` und entfernt Inline-Handler. Danach wird `script-src 'nonce-r4…' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'` durchgesetzt. Jede Antwort erhält eine neue, schwer zu erratende Nonce. Ausgewählte Verstoßberichte zeichnen keine Kunden-URLs auf. Technical concept or control: Inhalts-Sicherheitsrichtlinie (Content Security Policy). Why it fits: Verwenden Sie eine getestete, strikte CSP als zusätzliche Verteidigung, vorzugsweise mit Nonces oder Hashes. Überprüfen Sie Berichte, bevor Sie eine geänderte Richtlinie vollständig aktivieren. Do not use it when: Behandle breite `*`- oder `unsafe-inline`-Regeln nicht als starke Sicherheit und verwende keine wiederverwendbaren, vorhersehbaren Nonces. CSP ersetzt nicht die normale XSS-Prävention. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Ein formelles Dokument kann trotzdem ein Entwurf, ein Release Candidate oder die finale Version sein. Prüfe seinen Status und die Browser- oder Plattform-Unterstützung. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.
Diese Anfrage prüfen
Review how Inhalts-Sicherheitsrichtlinie (Content Security Policy) is used now. Definition: Inhalts-Sicherheitsrichtlinie, oder CSP, ist eine HTTP-Regel für Browserinhalte. Sie begrenzt, welche Dateien geladen und welche Skripte ausgeführt werden dürfen. Release checks: Check contracts and invariants, authorization, and input limits. Test retries, one-time effects, timeouts, and partial failures. Verify data integrity, compatibility, monitoring, recovery, and rollback. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.