La CSP la plus stricte que votre site puisse exécuter, construite depuis le trafic réel.

Oui, et c'est tout l'intérêt. Vous déployez une fois une politique en report-only, et chaque navigateur qui visite rapporte les scripts, styles et connexions que vos pages chargent. CentralCSP agrège ces rapports en une politique qui couvre tout votre site, y compris les pages et les tiers qu'un crawler d'une seule page n'atteint jamais.

Pas de la façon dont nous la déployons. La politique tourne d'abord en report-only : elle rapporte les violations mais ne bloque rien, vous voyez donc exactement ce que le blocage casserait avant que ça casse. Vous passez en mode bloquant seulement quand la phase report-only est propre, et vous pouvez revenir en arrière à tout moment.

Une Content Security Policy peut être envoyée sous deux formes. Content-Security-Policy applique la règle : le navigateur bloque tout ce que la politique interdit. Content-Security-Policy-Report-Only se contente de rapporter les violations et ne bloque rien. Le report-only est la façon de tester une politique sur du trafic réel sans risque, et c'est là que commence chaque politique ici.

Les bloqueurs de publicité, gestionnaires de mots de passe et autres extensions injectent du code dans chaque page, et ce code déclenche votre politique. C'est la principale raison pour laquelle les rapports CSP semblent noyés dans le bruit. CentralCSP classe chaque source selon le nombre de navigateurs et de pages qui l'ont rapportée et signale le motif d'injection par extension, pour qu'une source apparue une seule fois dans le navigateur d'un utilisateur ne soit pas prise pour une vraie dépendance.

Un scanner charge une page dans un navigateur headless et écrit une politique pour ce qu'il a vu par hasard. Il rate tout ce qui se trouve derrière une connexion, un clic ou un test A/B, ainsi que le widget tiers qui ne se charge que pour certains visiteurs. Une politique construite à partir du trafic réel couvre tout cela, parce que les rapports viennent de vrais utilisateurs sur chaque page qu'ils ont réellement ouverte.

Non. Vous partez d'une base stricte en report-only (default-src 'none'), vous collectez le temps que votre trafic le nécessite, et vous laissez le générateur remplir les directives à partir de ce que rapportent les vrais navigateurs. Si vous avez déjà une CSP, pointez son report-to vers le même endpoint et CentralCSP s'appuie sur l'existant.

Les rapports continuent d'arriver, donc le générateur continue de montrer les écarts : un nouveau script, une nouvelle origine, une source qui a cessé d'apparaître. Vous resserrez la politique quand quelque chose de légitime est ajouté et vous êtes alerté quand quelque chose que vous n'avez jamais approuvé surgit, au lieu de réécrire l'en-tête à la main à chaque mise en production.