A Content Security Policy é um mecanismo de segurança do navegador que ajuda a prevenir vários tipos de ataques, incluindo o Cross-Site Scripting (XSS) e outros ataques de injeção de código. A CSP funciona especificando quais fontes de conteúdo o navegador deve considerar válidas, controlando desde a execução de scripts até o carregamento de imagens. Ela oferece controle granular sobre o carregamento de recursos e ajuda a manter uma fronteira de segurança rígida em torno das aplicações web.
Uma Content Security Policy é um cabeçalho de resposta HTTP, ou uma tag meta, que informa ao navegador quais fontes de scripts, estilos, imagens e outros recursos têm permissão para carregar em uma página. Ao declarar uma lista de permitidos, uma CSP pode bloquear scripts inline e domínios não confiáveis, o que limita o impacto do cross-site scripting e do carregamento de recursos não autorizados. É um controle de defesa em profundidade aplicado pelo navegador, não um produto de segurança independente.
Uma CSP governa de onde os scripts podem carregar, não o que eles fazem depois de carregados. Se você permite um fornecedor de terceiros e esse fornecedor é comprometido, o navegador continua confiando no script malicioso e o executa. As CSPs também são difíceis de manter: unsafe-inline, curingas amplos e longas listas de permitidos vão se infiltrando para não quebrar a funcionalidade, corroendo silenciosamente a proteção, e o modo somente-relatório somado à fadiga de alertas faz com que as violações muitas vezes fiquem sem vigilância.
A cside aborda justamente a lacuna que uma CSP deixa: ela inspeciona o comportamento dos scripts permitidos que uma CSP autoriza. Quando um script confiável começa a ler campos de cartão ou a contatar um novo domínio, a cside o sinaliza e pode bloqueá-lo, independentemente do veredito da CSP. Usadas em conjunto, uma CSP reduz quais scripts podem carregar e a cside verifica se os que carregam continuam honestos.
Não. Uma CSP restringe as fontes dos scripts, mas não consegue saber se um script permitido foi adulterado. Os requisitos 6.4.3 e 11.6.1 da PCI DSS esperam que você gerencie quais scripts são executados e monitore sua integridade e comportamento; essa segunda metade é o que uma CSP não fornece.
Enfraquecer a política para evitar quebras, adicionando unsafe-inline, fontes com curinga ou uma longa lista de domínios de terceiros, até que ela deixe de restringir qualquer coisa de forma significativa. Uma CSP permissiva pode dar uma falsa sensação de segurança enquanto permite quase tudo o que deveria bloquear.
We answer client-side security questions every day. Bring yours.