CSP
CSP (Content Security Policy) deklariert über einen HTTP-Header, welche Ressourcenquellen eine Seite laden darf, und verkleinert die Angriffsfläche für XSS und Dateninjektion.
Zweck
Wehrt XSS und Content-Injection ab, indem die Quellen, aus denen eine Seite Ressourcen laden darf, per Whitelist beschränkt werden.
Mechanismus
Der Header Content-Security-Policy deklariert Direktiven: default-src legt die Standardquelle fest, script-src die Skriptquellen, style-src die Style-Quellen usw. Ein Nonce oder Hash erlaubt Inline-Skripte, report-uri meldet Verstöße. Striktes CSP nutzt Nonce plus strict-dynamic.
Anwendungsfälle
- XSS-Minderung
- Einschränkung von Drittanbieter-Skripten
- Kontrolle von Inline-Skripten
- Verstoßberichte
Beispiele
- Eingabe
script-src 'self' 'nonce-abc'OutputOnly same-origin and nonce-tagged scripts are allowedWhitelisting
Häufige Fehler
- An overly strict CSP breaks page functionality
- Observe first with Report-Only mode
Verwandte Begriffe
CORS
CORS (Cross-Origin Resource Sharing) ist ein Browsersicherheitsmechanismus, der über HTTP-Header steuert, ob eine Seite auf Ressourcen einer anderen Herkunft zugreifen darf, und Cross-Site-Lesezugriffe verhindert. GLOSSAR
XSS
XSS (Cross-Site Scripting) ist der Angriff, bei dem ein Angreifer bösartige Skripte in eine Seite einschleust, die im Browser anderer Nutzer ausgeführt werden; es gibt gespeicherte, reflektierte und DOM-basierte Formen. GLOSSAR
Security Header
Sicherheits-HTTP-Header sind Response-Header, die den Browser anweisen, Sicherheitsmechanismen zu aktivieren, etwa CSP, HSTS und X-Frame-Options. GLOSSAR
Content Security Policy
Content Security Policy (CSP) deklariert über einen HTTP-Header eine Whitelist von Quellen, von denen eine Seite Ressourcen laden darf; es ist der Kernmechanismus zur Abwehr von XSS und Content-Injection. GLOSSAR