Les reports du navigateur dans CentralCSP
Où atterrit chaque type de report navigateur, lesquels traiter en premier, et comment réduire le bruit que produit un site fraîchement connecté.
Dernière mise à jour:
Tout ce que le navigateur vous a envoyé, une page par type de report, plus un Explorer brut. Les reports sont conservés 90 jours.
Quelle page répond à quoi
| Page | À utiliser pour |
|---|---|
| Violations CSP | Construire une politique qui correspond à ce que vos pages chargent |
| Hashes CSP | Trouver ce qui s'exécute sur vos pages, et si cela a changé |
| Violations d'intégrité | Trouver les scripts qui se chargent sans vérification |
| Permissions Policy | Dimensionner une politique de fonctionnalités avant de l'appliquer |
| Document Policy | Trouver les API héritées que vos documents utilisent encore |
| Dépréciations | Corriger ce qu'une future version de navigateur va casser |
| Interventions | Vérifier que votre code gère ce que le navigateur a modifié |
| Crashs | Trouver les pages qui tuent l'onglet |
| Connection allowlist | Contrôler vers où vos pages se connectent |
| COEP | Vider la liste qui bloque l'isolation cross-origin |
| COOP | Vérifier que les logins par popup survivent à une politique d'opener |
| Erreurs réseau | Voir des échecs que vos logs serveur ne peuvent pas contenir |
La page d'une politique que vous n'avez pas déployée est simplement vide. Les pages qui existent dépendent des types de report inclus dans votre plan.
Par où commencer sur un nouveau site
- Violations CSP, une directive à la fois. La page la plus bruyante, et la plus utile.
- Dépréciations. Peu volumineuse, et chaque entrée est du code que vous devrez changer de toute façon.
- Erreurs réseau, si vous servez une large audience.
Laissez le reste de côté jusqu'à ce que vous déployiez la politique correspondante.
Réduisez le bruit avant de le lire
Un premier lot sur un site sans CSP préalable a l'air alarmant et ne l'est presque jamais. La politique générée n'autorise rien au-delà de votre propre origine, donc chaque police, chaque image et chaque script tiers remonte. Cette liste est un inventaire, pas une série d'incidents.
Deux choses méritent une attention immédiate, les violations que votre propre code n'explique pas, et tout ce qui apparaît sur une page de paiement.
Les extensions de navigateur sont la première source de bruit incorrigible, parce que le code injecté n'est pas le vôtre. Écartez-les depuis Paramètres > Ingestion plutôt que de les contourner sur chaque page. Voir Filtres d'ingestion.
Étapes suivantes
Paramètres généraux
Renommez un site web, changez son URL, effacez ses reports stockés ou supprimez-le. Les deux dernières actions sont définitives et irréversibles.
Explorer
Inspecter les reports navigateur un par un, sans agrégation. Choisissez un type, appliquez les filtres par facette, et lisez le JSON stocké.