La Política de Seguridad de Contenidos es un mecanismo de seguridad del navegador que ayuda a prevenir varios tipos de ataques, incluyendo el Cross-Site Scripting (XSS) y otros ataques de inyección de código. La CSP funciona especificando qué fuentes de contenido debe considerar válidas el navegador, controlando todo, desde la ejecución de scripts hasta la carga de imágenes. Proporciona un control granular sobre la carga de recursos y ayuda a mantener un límite de seguridad estricto en torno a las aplicaciones web.
Una Content Security Policy es una cabecera de respuesta HTTP, o una etiqueta meta, que indica al navegador qué fuentes de scripts, estilos, imágenes y otros recursos pueden cargarse en una página. Al declarar una lista de permitidos, una CSP puede bloquear los scripts en línea y los dominios no confiables, lo que limita el impacto del cross-site scripting y de la carga no autorizada de recursos. Es un control de defensa en profundidad aplicado por el navegador, no un producto de seguridad independiente.
Una CSP gobierna desde dónde pueden cargarse los scripts, no lo que hacen una vez cargados. Si permites a un proveedor de terceros y ese proveedor se ve comprometido, el navegador sigue confiando en el script malicioso y lo ejecuta. Las CSP también son difíciles de mantener: unsafe-inline, comodines amplios y largas listas de permitidos se van colando para no romper la funcionalidad, erosionando en silencio la protección, y el modo solo-informe más la fatiga de alertas hacen que las infracciones a menudo queden sin vigilar.
cside aborda justo el hueco que deja una CSP: inspecciona el comportamiento de los scripts permitidos que una CSP autoriza. Cuando un script de confianza empieza a leer campos de tarjeta o a contactar con un nuevo dominio, cside lo señala y puede bloquearlo, con independencia del veredicto de la CSP. Usados juntos, una CSP reduce qué scripts pueden cargarse y cside verifica que los que se cargan sigan siendo honestos.
No. Una CSP restringe las fuentes de los scripts pero no puede saber si un script permitido ha sido manipulado. Los requisitos 6.4.3 y 11.6.1 de PCI DSS esperan que gestiones qué scripts se ejecutan y que monitorices su integridad y comportamiento; la segunda mitad es lo que una CSP no proporciona.
Debilitar la política para evitar que algo se rompa, añadiendo unsafe-inline, fuentes con comodín o una larga lista de dominios de terceros, hasta que deja de restringir nada de forma significativa. Una CSP permisiva puede dar una falsa sensación de seguridad mientras permite casi todo lo que debía bloquear.
We answer client-side security questions every day. Bring yours.