مولّد سياسة CSP ومراجعتها

طريقة الاستخدام

1. اكتب التوجيهات في السياسة، سطراً لكل توجيه، وبأسمائها كما هي مكتوبة، مثل script-src.
2. اختر طريقة الإرسال: يفرض Content-Security-Policy السياسة، أما Content-Security-Policy-Report-Only فهي الترويسة التي تختبر بها أولاً.
3. اقرأ القاعدة السارية لكل مورد لترى التوجيه الذي يغطي النصوص البرمجية والأنماط والصور والإطارات.
4. انسخ سطر الترويسة إلى خادمك، وأصلح كل تحذير مدرج أسفل النتيجة.

أي قاعدة تسري على المورد

يتحقق المتصفح من كل نوع من الموارد مقابل توجيه واحد. فإذا كان ذلك التوجيه غير موجود، يرجع إلى البديل في سلسلة، ويُظهر الجدول السلسلة التي اتبعها. وتأتي السلاسل من CSP Level 3، القسم 6.8.3.

• النصوص البرمجية: script-src-elem، ثم script-src، ثم default-src.
• معالِجات الأحداث المضمّنة: script-src-attr، ثم script-src، ثم default-src.
• أوراق الأنماط: style-src-elem، ثم style-src، ثم default-src. وتتبع سمات الأنماط المضمّنة النمط نفسه مع style-src-attr.
• الإطارات: frame-src، ثم child-src، ثم default-src.
• العمّال: worker-src، ثم child-src، ثم script-src، ثم default-src.
• الصور والخطوط والوسائط والإضافات وملفات البيان وطلبات fetch: توجيهها الخاص، ثم default-src.

ما يقرؤه الفاحص

تُفصل التوجيهات بفواصل منقوطة، ويقبل هذا الفاحص أسطراً جديدة أيضاً. يُقرأ الاسم حتى أول مسافة، ولا يفرّق بين الأحرف الكبيرة والصغيرة. وحين يظهر توجيه مرتين، يُحسب الأول ويُتجاهل التكرار (CSP Level 3، القسم 2.2.1).

• الكلمات المفتاحية مثل 'self' و'none' تُكتب بين علامتي تنصيص مفردتين. ويجب أن تقف 'none' وحدها في قائمتها.
• الـ nonce هو 'nonce-' متبوعة بقيمة base64. والـ hash هو sha256 أو sha384 أو sha512، وشرطة، ثم قيمة base64 (القسم 2.3.1).
• لا تجوز الفاصلة داخل قيمة توجيه، لأنها تفصل بين السياسات في الترويسة.

ما لا يفعله الفاحص

• لا يحمّل الصفحة ولا يختبر السياسة في متصفح. يعرض الجدول القاعدة التي سيستخدمها المتصفح، لا إن كانت صفحتك ستعمل بعد ذلك.
• يتحقق من كتابة الكلمات المفتاحية والـ nonce والـ hash، لكنه لا يفحص المضيفات ومصادر البروتوكول بالتفصيل.
• لا يحكم على التوجيهات التي لا يعرفها، مثل sandbox، فتبقى في سطر الترويسة كما هي.

الأسئلة الشائعة