Nasıl kullanılır?
- Yönergeleri Politika kutusuna her satıra bir tane gelecek şekilde yazın; adları script-src gibi aynen yazın.
- Gönderim kutusunda Content-Security-Policy politikayı zorunlu kılar, Content-Security-Policy-Report-Only ise önce denemek içindir.
- Kaynağa göre geçerli kural tablosunda komut dosyaları, stiller, resimler ve çerçeveleri hangi yönergenin denetlediğine bakın.
- Başlık satırını sunucunuza kopyalayın ve sonucun altındaki her uyarıyı düzeltin.
Bir kaynak için hangi kural geçerli
Tarayıcı her kaynak türünü bir yönergeye göre denetler. Yönerge yoksa geri dönüş zincirini izler; tablo izlediği zinciri gösterir. Zincirler CSP Level 3'ün 6.8.3 bölümünden alınmıştır.
- Komut dosyaları: script-src-elem, sonra script-src, sonra default-src.
- Satır içi olay işleyicileri: script-src-attr, sonra script-src, sonra default-src.
- Stil sayfaları: style-src-elem, sonra style-src, sonra default-src. Satır içi stil öznitelikleri style-src-attr ile aynı biçimi izler.
- Çerçeveler: frame-src, sonra child-src, sonra default-src.
- Worker'lar: worker-src, sonra child-src, sonra script-src, sonra default-src.
- Resimler, yazı tipleri, ses ve video, nesneler, bildirimler ve fetch istekleri: kendi yönergeleri, sonra default-src.
Denetleyici neyi okur
Yönergeler noktalı virgülle ayrılır; bu araç satır sonlarını da kabul eder. Bir ad, ilk boşluğa kadar okunur ve büyük küçük harf farkı gözetilmez. Bir yönerge iki kez yazılırsa ilki geçerlidir, tekrarı atlanır (CSP Level 3, bölüm 2.2.1).
- 'self' ve 'none' gibi anahtar kelimeler tek tırnak içinde yazılır. 'none' listesinde tek başına olmalıdır.
- Nonce, 'nonce-' ve bir base64 değeridir. Hash ise sha256, sha384 ya da sha512, bir kısa çizgi ve bir base64 değeridir (bölüm 2.3.1).
- Bir yönerge değerinde virgül kullanılamaz, çünkü başlıkta virgül politikaları ayırır.
Denetleyicinin yapmadıkları
- Sayfayı yüklemez ve politikayı bir tarayıcıda sınamaz. Tablo, bir tarayıcının kullanacağı kuralı gösterir; sayfanızın çalışıp çalışmadığını söylemez.
- Anahtar kelimelerin, nonce'ların ve hash'lerin yazımına bakar, ancak ana makine ve şema kaynaklarını ayrıntılı denetlemez.
- sandbox gibi listelemediği yönergeleri değerlendirmez; bunlar başlık satırında olduğu gibi kalır.
Örnek: örnek politika
Örnek politikada komut dosyaları script-src kullanır, çünkü script-src-elem yoktur. Çerçevelerde frame-src ya da child-src yoktur, bu yüzden default-src'ye düşerler. Worker'larda worker-src ya da child-src yoktur, bu yüzden script-src kullanırlar. style-src 'unsafe-inline' içerdiği için denetleyici bunu bir uyarı olarak gösterir.
| Kaynak | Sırayla denetlenen | Kullanılan kural |
|---|---|---|
| Komut dosyaları (script öğeleri) | script-src-elem, script-src, default-src | script-src |
| Çerçeveler (iframe) | frame-src, child-src, default-src | default-src |
| Worker'lar | worker-src, child-src, script-src, default-src | script-src |
Sık sorulan sorular
Tabloda komut dosyaları için yazmadığım bir kural neden görünüyor?
Kendi yönergesi olmayan kaynak, geri döndüğü yönergeyi kullanır. Komut dosyaları için bu sırayla script-src-elem, script-src ve default-src'dir. Tablo, bir tarayıcının kullanacağı kuralı gösterir.
'unsafe-inline' neye izin verir?
Yönergenin kapsadığı yerlerde satır içi komut dosyasına ya da satır içi stile izin verir. Aynı kaynak listesinde bir nonce ya da hash varsa tarayıcılar 'unsafe-inline' değerini yok sayar (CSP Level 3, bölüm 6.7.3.2); ihtiyacınız olan satır içi kod için bunlardan birini kullanın.
report-uri mi yoksa report-to mu yazmalıyım?
report-to yazın. MDN, report-uri'nin yerini alan yönerge olarak tanımlar. report-to yaygın desteklenmediği sürece MDN ikisini birlikte göndermeyi önerir; denetleyici report-uri varsa uyarır.
Bir yönerge adım neden bilinmeyen diye işaretlendi?
Denetleyici yalnızca tarayıcıların desteklediği ve MDN'nin belgelediği yönergeleri değerlendirir. Bilmediği bir ad başlık satırında olduğu gibi kalır, ama tabloda yer almaz ve değerlendirilmez.
Araç politikamı bir yere gönderiyor mu?
Hayır. Başlık tarayıcınızda oluşturulur. Yazdığınız hiçbir şey bize gönderilmez ve saklanmaz; politika hiçbir sitede sınanmaz.
CSP Level 3 kesinleşmiş bir standart mı?
Henüz değil. Bu denetleyicinin izlediği metin, 27 Ekim 2026 tarihli bir W3C Çalışma Taslağıdır; Önerilen Standart yolundaki bir taslaktır. Canlı bir politikada bir kurala güvenmeden önce en son sürümü okuyun.
Kaynaklar
- CSP Level 3, W3C Çalışma Taslağı, 27 Ekim 2026 (bölüm 2.2, 2.3.1, 4.4.1, 6.7.3.2 ve 6.8.3)
- MDN: Content-Security-Policy başlığı, yönergeleri ve geri dönüşleri
Rakamlar ve metin en son 10 Kasım 2026 Salı tarihinde kontrol edildi.