CSP Report-Only
Der CSP-Report-Only-Modus meldet Verstöße nur, ohne zu blockieren; er dient dem schrittweisen CSP-Rollout ohne Funktionsbruch.
Zweck
CSP-Verletzungsberichte ohne Blockierung sammeln und die Richtliniensicherheit bewerten, bevor auf den Enforcing-Modus umgeschaltet wird.
Mechanismus
Der Header Content-Security-Policy-Report-Only nutzt dieselbe Syntax wie CSP, meldet aber nur. Bei einem Verstoß POSTet der Browser einen Bericht an report-uri (inklusive verletzter Direktive, Quelle, Zeile und Spalte). Nach der Analyse auf ein Enforcing-CSP umschalten.
Anwendungsfälle
- Schrittweise CSP-Einführung
- Verstoßüberwachung
- Richtlinienbewertung