Lees hoe Content Security Policy de browser begrenst, wat report-only doet en waarom een aanwezige CSP-header nog geen sterke bescherming bewijst.
Wat legt CSP vast?
CSP geeft de browser een lijst met bronnen waaruit scripts, styles, afbeeldingen, fonts en andere inhoud mogen worden geladen. Vooral script-src is belangrijk bij het beperken van de gevolgen van cross-site scripting. Met frame-ancestors bepaal je bovendien welke websites een pagina in een frame mogen tonen.
Van Report-Only naar handhaving
Begin bij een bestaande website meestal met Content-Security-Policy-Report-Only. Daarmee zie je welke bronnen het beleid zou blokkeren. Ruim legitieme afhankelijkheden gericht op en stap daarna over naar een afdwingend beleid. Een ruim default-src * of veelvuldig gebruik van unsafe-inline levert weinig bescherming op.
Wat controleer je in de praktijk?
Bekijk de daadwerkelijke HTTP-response, niet alleen de broncode. Controleer per paginatype welke directives gelden, of nonces of hashes correct worden gebruikt en of rapportages worden opgevolgd. Een wijziging in een marketingtool kan anders ongemerkt het beleid verzwakken.
Wat volgt Kynexis Domeinmonitoring?
De monitor legt de extern waarneembare instellingen en veranderingen vast. Een technische deelcontrole beschrijft één afgebakende instelling op een bepaald moment. Waar een uitkomst niet betrouwbaar te toetsen is, tonen we dat als zodanig. Zo voorkom je dat een onbekende status ten onrechte als veilig wordt gelezen.
Bekijk ook het overzicht van domein- en e-mailbeveiliging of lees meer over Kynexis Domeinmonitoring.
Bronnen