Por Que CSP es Importante para la Seguridad Web
Content Security Policy es una de las defensas más efectivas contra ataques de cross-site scripting (XSS). Al declarar exactamente que fuentes pueden cargar scripts, estilos, imágenes y otros recursos, creas una lista blanca que los navegadores aplican automáticamente. Incluso si un atacante inyecta código malicioso en tu página, el navegador se niega a ejecutarlo porque la fuente no está en tu política.
Entendiendo las Directivas CSP
Cada directiva controla un tipo específico de recurso. La directiva default-src actua como respaldo para cualquier tipo no especificado. La directiva script-src gobierna las fuentes de JavaScript, style-src maneja CSS e img-src controla imágenes. Directivas mas especializadas como connect-src restringen fetch y XMLHttpRequest, mientras que frame-ancestors determina que sitios pueden embeber el tuyo.
Valores de Fuente Comunes Explicados
El valor 'self' permite contenido de tu propio origen. El valor 'none' bloquea todo para esa directiva. Para scripts en línea, 'unsafe-inline' los permite pero debilita la seguridad; prefiere enfoques basados en nonce o hash. El valor 'strict-dynamic' confia en scripts cargados por scripts ya confiables, simplificando el uso de CDN manteniendo la protección.
Desplegando CSP en Producción
Comienza con Content-Security-Policy-Report-Only para recopilar reportes de violaciones sin romper funcionalidad. Analiza los reportes, ajusta tu política y luego cambia al encabezado de aplicación. Usa las directivas report-uri o report-to para enviar violaciones a un endpoint de logging. Monitorea regularmente porque nuevas integraciones pueden provocar bloqueos inesperados.
