Content Security Policy: planificar, probar y aplicar con criterio

Content Security Policy limita ciertos comportamientos de carga y ejecución de recursos en el navegador. Diseñada para la aplicación, puede reducir riesgos específicos, pero no sustituye código seguro ni garantiza directamente el rendimiento SEO.

Inventariar recursos legítimos

Enumera scripts, estilos, imágenes, marcos y conexiones necesarios para recorridos importantes. Incluye integraciones de pago, consentimiento y analítica con un responsable. Comprueba políticas entregadas por rutas, configuración CDN y respuestas de error. Varias capas pueden interactuar: inspecciona la respuesta real, no solo un archivo de configuración.

Probar antes de aplicar ampliamente

Desarrolla la política en un entorno adecuado y utiliza mecanismos de solo informe cuando corresponda. Reproduce infracciones y distingue recursos necesarios de integraciones innecesarias. No resuelvas todas las infracciones con comodines o excepciones inseguras. Tampoco copies una política restrictiva de otra aplicación suponiendo que todos los formularios y pagos seguirán funcionando.

Ejemplo: se deniega una conexión API necesaria

Supón que la página carga normalmente, pero su formulario no puede alcanzar la API prevista con la política propuesta. Inspecciona la infracción del navegador, verifica el papel de la API y añade solo el origen justificado a la directiva correspondiente. Repite envío válido, errores y páginas ajenas. Es una prueba de configuración, no una política universal lista para desplegar.

Verificar protección y usabilidad

1. Inspecciona la política realmente entregada en producción.
2. Ejecuta recorridos autenticados y públicos representativos con autorización.
3. Revisa informes para detectar recursos inesperados y falsos positivos.
4. Registra responsable, cambios y procedimiento de recuperación.

El comprobador SSL y de encabezados de SearchBastion observa la configuración. No certifica una política completa ni demuestra ausencia de fallos explotables. Un encabezado ausente no explica por sí solo una caída de posiciones.

Usa la guía CSP de MDN para entender directivas y opciones de despliegue de la aplicación que realmente operas.