Question 1

Что такое Content Security Policy (CSP) и зачем её использовать?

Accepted Answer

CSP — это HTTP-заголовок ответа, который сообщает браузерам, каким источникам контента (скрипты, стили, изображения и т.д.) можно доверять. Это одна из наиболее эффективных защит от XSS-атак (межсайтового скриптинга), блокируя выполнение вредоносных скриптов, внедрённых злоумышленниками.

Question 2

Что означает 'unsafe-inline' и следует ли его избегать?

Accepted Answer

'unsafe-inline' разрешает встроенные скрипты и стили, что значительно ослабляет защиту CSP. По возможности избегайте его. Вместо этого используйте nonce (случайный токен на запрос, добавляемый к разрешённым тегам script) или хэши для разрешения конкретного встроенного кода без общего разрешения.

Question 3

В чём разница между Content-Security-Policy и Content-Security-Policy-Report-Only?

Accepted Answer

Content-Security-Policy активно блокирует нарушения. Content-Security-Policy-Report-Only отправляет отчёты о нарушениях, но НИЧЕГО не блокирует — идеально для тестирования новой политики без поломки сайта. Сначала используйте Report-Only, исправьте проблемы, затем переключитесь в режим принудительного применения.

Question 4

Что такое директива 'default-src'?

Accepted Answer

'default-src' — это резервная директива для всех типов ресурсов, у которых нет собственной явной директивы. Установка 'default-src: none' означает, что по умолчанию ничего не разрешено, и каждый тип ресурса нужно явно добавлять в белый список. Это наиболее ограничительная и рекомендуемая отправная точка.

Question 5

Как разрешить Google Fonts с CSP?

Accepted Answer

Google Fonts загружает CSS с fonts.googleapis.com и файлы шрифтов с fonts.gstatic.com. Вам нужно: style-src 'self' https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com. Некоторые интеграции шрифтов также требуют ссылок preconnect в вашем HTML.

Конструктор CSP-заголовков

Часто задаваемые вопросы

Comments & Feedback