Guida alle vulnerabilità di sicurezza

Comprendere e correggere le vulnerabilità di sicurezza web comuni rilevate da VitaPulse

Alta
Content-Security-Policy (CSP)

Definisce quali risorse (script, stili, immagini) possono essere caricate sulla tua pagina, prevenendo attacchi di iniezione di contenuti.

Rischio

Senza CSP, un attaccante che riesce a iniettare contenuto nella tua pagina (tramite XSS, un campo input non sanitizzato o una dipendenza di terze parti compromessa) può eseguire script arbitrari nel browser dei tuoi utenti. Questo può portare a furto di sessione, keylogging, defacement e esfiltrazione di dati.

Soluzione

Inizia con una policy restrittiva e allentala gradualmente. Usa le direttive per controllare ogni tipo di risorsa. Testa con Content-Security-Policy-Report-Only prima di applicarla.

Esempio
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self' https://api.example.com
MDN - Content-Security-Policy CSP Evaluator (Google)
Discussione (0)

Nessun messaggio ancora.