Question 1

İçerik Güvenlik Politikası (CSP) nedir ve neden kullanmalıyım?

Accepted Answer

CSP, tarayıcılara hangi içerik kaynaklarının (komut dosyaları, stiller, resimler vb.) güvenilir olduğunu söyleyen bir HTTP yanıt başlığıdır. Saldırganlar tarafından enjekte edilen kötü amaçlı komut dosyalarının yürütülmesini engelleyerek XSS (Çapraz Site Betikleme) saldırılarına karşı en etkili savunmalardan biridir.

Question 2

'unsafe-inline' ne anlama gelir ve kaçınmalı mıyım?

Accepted Answer

'unsafe-inline' satır içi komut dosyalarına ve stillere izin vererek CSP korumasını önemli ölçüde zayıflatır. Mümkün olduğunca kaçının. Bunun yerine, genel izin olmadan belirli satır içi koda izin vermek için nonce (izin verilen script etiketlerine eklenen istek başına rastgele token) veya hash kullanın.

Question 3

Content-Security-Policy ile Content-Security-Policy-Report-Only arasındaki fark nedir?

Accepted Answer

Content-Security-Policy ihlalleri aktif olarak engeller. Content-Security-Policy-Report-Only ihlaller hakkında raporlar gönderir ancak HİÇBİR ŞEYİ engellemez — sitenizi bozmadan yeni bir politikayı test etmek için idealdir. Önce Report-Only kullanın, sorunları düzeltin, ardından uygulama moduna geçin.

Question 4

'default-src' yönergesi nedir?

Accepted Answer

'default-src', kendi açık yönergesine sahip olmayan tüm kaynak türleri için bir geri dönüştür. 'default-src: none' ayarlamak, varsayılan olarak hiçbir şeye izin verilmediği ve her kaynak türünü açıkça beyaz listeye eklemeniz gerektiği anlamına gelir. Bu en kısıtlayıcı ve önerilen başlangıç noktasıdır.

Question 5

CSP ile Google Fonts'a nasıl izin veririm?

Accepted Answer

Google Fonts, fonts.googleapis.com'dan CSS ve fonts.gstatic.com'dan font dosyaları yükler. Şunlara ihtiyacınız var: style-src 'self' https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com. Bazı font entegrasyonları HTML'inizde preconnect bağlantıları da gerektirir.

CSP Başlık Oluşturucu

Sıkça Sorulan Sorular

Comments & Feedback