Ejemplo de HTTP CSP: script-src

El HTTP Content-Security-Policy (CSP) script-src La directiva especifica fuentes válidas para JavaScript. Esto incluye no solo las URL cargadas directamente en <script> elementos, pero también cosas como controladores de eventos de secuencias de comandos en línea (onclick) y Hojas de estilo XSLT que puede desencadenar la ejecución de un script.

Versión CSP	1
Tipo de directiva	Obtener directiva
`default-src` retroceder	Si. Si esta directiva está ausente, el agente de usuario buscará el `default-src` directiva.

Sintaxis

Se pueden permitir una o más fuentes para script-src política:

Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src <source> <source>;

Fuentes

puede ser uno de los siguientes:

Hosts de Internet por nombre o dirección IP, así como un Esquema de URL y / o número de puerto. La dirección del sitio puede incluir un comodín inicial opcional (el carácter de asterisco, '*'), y puede usar un comodín (nuevamente, '*') como número de puerto, lo que indica que todos los puertos legales son válidos para la fuente.
Ejemplos:

http://*.example.com: Coincide con todos los intentos de carga desde cualquier subdominio de example.com utilizando el http: Esquema de URL.
mail.example.com:443: Coincide con todos los intentos de acceder al puerto 443 en mail.example.com.
https://store.example.com: Coincide con todos los intentos de acceder a store.example.com utilizando https:.
*.example.com: Coincide con todos los intentos de carga desde cualquier subdominio de example.com utilizando el protocolo actual.

Un esquema como http: o https:. Se requiere el colon. A diferencia de otros valores a continuación, no se deben usar comillas simples. También puede especificar esquemas de datos (no recomendado).

data: Permite data: URI que se utilizarán como fuente de contenido. Esto es inseguro; un atacante también puede inyectar datos arbitrarios: URI. Use esto con moderación y definitivamente no para scripts.
mediastream: Permite mediastream: URI para ser utilizado como fuente de contenido.
blob: Permite blob: URI para ser utilizado como fuente de contenido.
filesystem: Permite filesystem: URI para ser utilizado como fuente de contenido.

'self'

Hace referencia al origen desde el que se envía el documento protegido, incluido el mismo esquema de URL y número de puerto. Debe incluir las comillas simples. Algunos navegadores excluyen específicamente blob y filesystem de las directivas de origen. Los sitios que necesiten permitir estos tipos de contenido pueden especificarlos mediante el atributo Datos.

'unsafe-eval'

Permite el uso de eval() y métodos similares para crear código a partir de cadenas. Debe incluir las comillas simples.

'unsafe-hashes'

Permite habilitar en línea específicos controladores de eventos. Si solo necesita permitir controladores de eventos en línea y no en línea <script> elementos o javascript: URL, este es un método más seguro que usar la unsafe-inline expresión.

'unsafe-inline'

Permite el uso de recursos en línea, como en línea <script> elementos, javascript: URL, controladores de eventos en línea y en línea <style> elementos. Las comillas simples son obligatorias.

'none'

Se refiere al conjunto vacío; es decir, ninguna URL coincide. Las comillas simples son obligatorias.

‘mientras tanto- ‘

Una lista de permitidos para scripts en línea específicos usando un nonce criptográfico (número usado una vez). El servidor debe generar un valor nonce único cada vez que transmite una política. Es fundamental proporcionar un nonce imposible de adivinar, ya que omitir la política de un recurso es trivial. Consulte la secuencia de comandos insegura en línea para ver un ejemplo. Especificar nonce hace que un navegador moderno ignore 'unsafe-inline' que aún podría configurarse para navegadores más antiguos sin soporte para nonce.

‘ – ‘

Un hash sha256, sha384 o sha512 de scripts o estilos. El uso de esta fuente consta de dos partes separadas por un guión: el algoritmo de cifrado utilizado para crear el hash y el hash codificado en base64 del script o estilo. Al generar el hash, no incluya el

document.getElementById("btn").addEventListener('click', doSomething);

Secuencia de comandos insegura en línea

Nota: No permitir estilos y scripts en línea es una de las mayores ventajas de seguridad que ofrece CSP. Sin embargo, si es absolutamente necesario usarlo, existen algunos mecanismos que lo permitirán.

Para permitir scripts en línea y controladores de eventos en línea, 'unsafe-inline', se puede especificar una fuente nonce o una fuente hash que coincida con el bloque en línea.

Content-Security-Policy: script-src 'unsafe-inline';

La política de seguridad de contenido anterior permitirá en línea <script> elementos

<script> 
  var inline = 1; 
</script>

Puede usar una fuente nonce para permitir solo bloques de script en línea específicos:

Content-Security-Policy: script-src 'nonce-2726c7f26c'

Tendrá que establecer el mismo nonce en el <script> elemento:

<script nonce="2726c7f26c">
  var inline = 1;
</script>

Alternativamente, puede crear hashes a partir de sus scripts en línea. CSP admite sha256, sha384 y sha512.

Content-Security-Policy: script-src 'sha256-B2yPHKaXnvFWtRChIbabYmUBFZdVfKKXHbWtWidDVF8='

Al generar el hash, no incluya el <script> etiquetas y tenga en cuenta que las mayúsculas y los espacios en blanco son importantes, incluidos los espacios en blanco iniciales o finales.

<script>var inline = 1;</script>

Expresiones de evaluación inseguras

los 'unsafe-eval' La expresión fuente controla varios métodos de ejecución de secuencias de comandos que crean código a partir de cadenas. Si 'unsafe-eval' no se especifica con el script-src directiva, los siguientes métodos están bloqueados y no tendrán ningún efecto:

eval()
Function()
Al pasar una cadena literal como a métodos como: window.setTimeout("alert("Hello World!");", 500);
window.execScript (IE <11 solamente)

estrictamente dinámico

los 'strict-dynamic' La expresión fuente especifica que la confianza otorgada explícitamente a un script presente en el marcado, acompañándolo con un nonce o un hash, se propagará a todos los scripts cargados por ese script raíz. Al mismo tiempo, cualquier lista blanca o expresiones de origen como 'self' o 'unsafe-inline' será ignorado. Por ejemplo, una política como script-src 'strict-dynamic' 'nonce-R4nd0m' https://whitelisted.com/ permitiría cargar un script raíz con <script nonce="R4nd0m" src="https://example.com/loader.js"> y propagar esa confianza a cualquier script cargado por loader.js, pero no permitir la carga de scripts desde https://whitelisted.com/ a menos que vaya acompañado de un nonce o se cargue desde un script de confianza.

script-src 'strict-dynamic' 'nonce-someNonce'

script-src 'strict-dynamic' 'sha256-base64EncodedHash'

Es posible desplegar strict-dynamic de una manera compatible con versiones anteriores, sin necesidad de rastrear el usuario-agente.
La política:

script-src 'unsafe-inline' https: 'nonce-abcdefg' 'strict-dynamic'

actuará como 'unsafe-inline' https: en navegadores compatibles con CSP1, https: 'nonce-abcdefg' en navegadores compatibles con CSP2, y 'nonce-abcdefg' 'strict-dynamic' en navegadores compatibles con CSP3.

Especificaciones

Especificación	Estado	Comentario
Nivel de política de seguridad de contenido 3 La definición de 'script-src' en esa especificación.	Borrador de trabajo	Sin cambios.
Nivel de política de seguridad de contenido 2 La definición de 'script-src' en esa especificación.	Recomendación	Definición inicial.

Compatibilidad del navegadorActualizar datos de compatibilidad en GitHub

	Escritorio
	Cromo	Borde	Firefox	explorador de Internet	Ópera	Safari
`script-src`	25	14	23	No	15	7
Con guiones externos	59	≤79	?	No	?	?

	Móvil
	Vista web de Android	Chrome para Android	Firefox para Android	Opera para Android	Safari en iOS	Internet de Samsung
`script-src`	sí	sí	23	?	7	sí
Con guiones externos	59	59	?	?	?	7.0

Ver también

Content-Security-Policy
<script>
script-src-elem
script-src-attr

© 2005–2020 Mozilla y colaboradores individuales.
Con licencia de Creative Commons Attribution-ShareAlike License v2.5 o posterior.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src