Content Security Policy: Lập kế hoạch, Kiểm thử và Áp dụng có Chủ đích

Content Security Policy giới hạn một số hành vi tải tài nguyên và thực thi trong trình duyệt. Nó có thể giảm thiểu các rủi ro cụ thể khi được thiết kế riêng cho ứng dụng, nhưng không thay thế cho mã nguồn an toàn hoặc đảm bảo trực tiếp cho hiệu suất SEO.

Lập danh mục tài nguyên hợp pháp

Liệt kê các tập lệnh, kiểu dáng, hình ảnh, khung và kết nối cần thiết cho các hành trình quan trọng. Bao gồm các tích hợp thanh toán, sự đồng ý và phân tích với người phụ trách chịu trách nhiệm. Kiểm tra các chính sách được cung cấp bởi các tuyến đường ứng dụng, cấu hình CDN và phản hồi lỗi. Nhiều lớp chính sách có thể tương tác với nhau, vì vậy hãy kiểm tra phản hồi thực tế thay vì chỉ tệp cấu hình.

Kiểm thử trước khi áp dụng rộng rãi

Phát triển chính sách trong môi trường kiểm thử phù hợp và sử dụng các cơ chế chỉ báo cáo khi thích hợp. Tái tạo các vi phạm và phân biệt tài nguyên bắt buộc với các tích hợp không cần thiết. Tránh giải quyết mọi vi phạm bằng ký tự đại diện hoặc ngoại lệ không an toàn. Tương tự, không sao chép chính sách hạn chế từ ứng dụng khác và giả định mọi biểu mẫu và quy trình thanh toán vẫn hoạt động bình thường.

Ví dụ thực tế: một kết nối API bắt buộc bị từ chối

Giả sử một trang tải bình thường nhưng biểu mẫu của nó không thể kết nối tới API dự kiến theo chính sách đề xuất. Kiểm tra vi phạm của trình duyệt, xác minh vai trò của API và chỉ thêm nguồn được lý giải vào chỉ thị có liên quan. Kiểm thử lại việc gửi hợp lệ, xử lý lỗi và các trang không liên quan. Ví dụ này là một bài kiểm tra cấu hình, không phải là chính sách phổ quát sẵn sàng triển khai.

Xác minh cả tính bảo vệ và tính khả dụng

1. Kiểm tra chính sách thực sự được cung cấp trong môi trường production.
2. Thực hiện các hành trình công khai và đã xác thực đại diện có kèm theo ủy quyền.
3. Xem xét các báo cáo để tìm tài nguyên bất ngờ và kết quả dương tính giả.
4. Ghi lại quyền sở hữu chính sách, các thay đổi và quy trình khôi phục.

Trình kiểm tra SSL và tiêu đề của SearchBastion có thể quan sát cấu hình phản hồi. Nó không thể chứng nhận một chính sách hoàn chỉnh hoặc chứng minh sự vắng mặt của các lỗi ứng dụng có thể khai báo. Thiếu một tiêu đề đơn thuần không giải thích được sự suy giảm thứ hạng.

Sử dụng hướng dẫn CSP của MDN để hiểu về các chỉ thị và tùy chọn triển khai cho ứng dụng mà bạn thực sự vận hành.