Bom dia a todos!
Pessoal, o sistema que desenvolvi vai passar por uma auditoria, estou precisando ativar uns cabeçalhos de segurança, o CSP é um deles.
Alguém já passou por isso e poderia me dar umas dicas? Pois “setei” o CSP como default-src ‘self’ e não deu muito certo. A aplicação ficou totalmente desconfigurada.
Agradeço desde já!
Abraço a todos!
Tirei do manual do Scriptcase:
O valor deste cabeçalho é uma política ou conjunto de políticas que você deseja que o navegador respeite para uma determinada origem.
A lista de permissões de origem pode assumir vários valores diferentes:
*: O recurso é permitido em contextos de navegação de nível superior e em contextos de navegação aninhados (iframes).'self': O recurso é permitido em contextos de navegação de nível superior e contextos de navegação aninhados da mesma origem. Não é permitido em documentos de origem cruzada em contextos de navegação aninhados.'none': O recurso não é permitido em contextos de navegação de nível superior e não é permitido em contextos de navegação aninhados.<origin(s)>: origens específicas para as quais habilitar a política (por exemplo https://example.com).Logo, veja se o Self não está numa das situações acima que bloqueia o conteúdo
Boa tarde buhlerax!
Dei uma olhada na documentação, mas não me “clareou”…
Valeu pela atenção!
Alguém teria um exemplo de CSP para me ajudar?
Talvez aqui seja mais fácil de entender:
Deveria vir nativo o nonce para cada script que o SC usa.
a auditoria é do que ? xss ? sqlinjection ? brute force ?
coloca no scriptinit esse código , porém quando vc usa o unsafe-inline você deixa passar bastante coisa …
header(“Content-Security-Policy: script-src ‘self’ ‘unsafe-inline’ ‘unsafe-eval’; img-src ‘self’; style-src ‘self’ ‘unsafe-inline’”);
Bom dia lucasmatsumoto!
Obrigado pela atenção!
Passou por uma auditoria de segurança. A empresa nos mandou um relatório (Gerado pelo PEN TEST) especificando os riscos, por exemplo “setar” os cookies criados como Secure e HttpOnly, ativar alguns cabeçalhos, ocultar dados do cabeçalho Server… E o CSP é um deles para ser ativado.
Valeu! Obrigado lucasmatsumoto!
Irei aplicar e liberar para a auditoria novamente.
Abraço
Bom dia buhlerax!
Muito obrigado! Vou dar uma estudada!