Zum Inhalt springen
uencoder

Content Security Policy

Content Security Policy (CSP) deklariert über einen HTTP-Header eine Whitelist von Quellen, von denen eine Seite Ressourcen laden darf; es ist der Kernmechanismus zur Abwehr von XSS und Content-Injection.

Zweck

Ressourcenquellen per Whitelist beschränken und injizierte bösartige Skripte an der Ausführung hindern.

Mechanismus

Der Header Content-Security-Policy enthält Direktiven: default-src (Standard), script-src (Skripte), style-src (Styles), img-src (Bilder), connect-src (fetch/XHR) usw. Werte können 'self', Domains, Nonces oder Hashes sein. report-uri legt die Verstoßberichterstattung fest. Striktes CSP nutzt Nonce + strict-dynamic.

Anwendungsfälle

  • XSS-Abwehr
  • Einschränkung von Drittanbieter-Skripten
  • Kontrolle von Inline-Skripten
  • Verstoßüberwachung

Beispiele

  • Eingabe 
    script-src 'self' 'nonce-abc123'
    Output 
    Only same-origin + nonce scripts can execute

    Whitelist

Häufige Fehler

CSP includes unsafe-inline, weakening protection
Replace unsafe-inline with a nonce or hash

Verwandte Begriffe

CSP
CSP (Content Security Policy) deklariert über einen HTTP-Header, welche Ressourcenquellen eine Seite laden darf, und verkleinert die Angriffsfläche für XSS und Dateninjektion.
GLOSSAR
XSS
XSS (Cross-Site Scripting) ist der Angriff, bei dem ein Angreifer bösartige Skripte in eine Seite einschleust, die im Browser anderer Nutzer ausgeführt werden; es gibt gespeicherte, reflektierte und DOM-basierte Formen.
GLOSSAR
Security Header
Sicherheits-HTTP-Header sind Response-Header, die den Browser anweisen, Sicherheitsmechanismen zu aktivieren, etwa CSP, HSTS und X-Frame-Options.
GLOSSAR

References