مولّد CSP
أنشئ ترويسة Content-Security-Policy خطوة بخطوة. ابدأ من سياسة صارمة قائمة على nonce، وأضف المضيفين الذين تحتاج إليهم صفحاتك، وانسخ الترويسة مع مقتطفات Nginx وApache ووسم meta.
ابدأ فحصًا
- يعمل في متصفحك
- يُقيَّم أثناء الإنشاء
أنشئ
اختر سياستك
يحدّث كل تغيير الترويسة والمقتطفات والتقييم.
النتيجة
سياسة Content-Security-Policy الخاصة بك
استبدل {RANDOM} في كل استجابة
ولّد 16 بايتًا عشوائيًا على الأقل لكل استجابة، ورمّزها بترميز base64، واستخدم القيمة نفسها في الترويسة وفي سمة nonce لكل وسم script. لا تستطيع إعدادات الخادم الثابتة فعل ذلك، بل يجب أن يتولاه تطبيقك.
ترويسة استجابة HTTP
Content-Security-Policy: default-src 'self'; script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'self'Nginx
add_header Content-Security-Policy "default-src 'self'; script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'self'" always;Apache
Header always set Content-Security-Policy "default-src 'self'; script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'self'"وسم meta في HTML
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'; form-action 'self'">يستبعد وسم meta التوجيهات frame-ancestors وreport-uri وreport-to، لأن المتصفحات تتجاهلها في وسم meta.
التقييم
كيف يقيّمها مُقيِّم CSP
A+
قويةCSP صارمة
100/100
لا توجد نتائج: تستوفي السياسة جميع الفحوصات.
نقاط البداية
نقدّم Vigilbase OS
نظام التشغيل للأمن السيبراني.
اربط أدوات الأمان التي تدفع مقابلها بالفعل. أنشئ لوحات معلومات مخصّصة خلال دقائق، مع سجلات وأحداث قابلة للتدقيق والاستعلام في مكان واحد.
one.vigilbase.com/acme.exampleمعاينة · بيانات تجريبية
نظام أمان Acme
events | where severity >= medium | last 24hوكيل Vigilيعمل
- التحقيق موجة حشو بيانات اعتماد ضد /login
- المعالجة نشر قاعدة تحديد المعدل على الحافة
- التحقق انخفاض حركة الهجوم بنسبة 98% خلال خمس دقائق
ما مولّد CSP؟
يجمع مولّد CSP ترويسة Content-Security-Policy من إجاباتك عن المصادر التي تُحمِّل منها الصفحات السكربتات والأنماط والصور والإطارات. ويبدأ هذا المولّد من سياسة CSP الصارمة التي تصفها مواصفة CSP Level 3 (السماح بالسكربتات عبر nonce أو تجزئة (hash) مع 'strict-dynamic'، وobject-src 'none'، وbase-uri 'none')، ويقيّم النتيجة بالقواعد نفسها التي يستخدمها مُقيِّم CSP.
انشر السياسة الجديدة أولًا بوصفها Content-Security-Policy-Report-Only، واقرأ التقارير، وأصلح ما تكشفه، ثم افرضها.
كيفية نشر سياسة Content-Security-Policy
لا تحمي السياسة إلا بعد أن تفرضها المتصفحات، وقد تعطّل الصفحات التي تحمّل شيئًا لا تسمح به. انشرها بهذا الترتيب.
1. اختر طريقة الوثوق بالسكربتات
تناسب قيم nonce الصفحات التي تُولَّد مع كل طلب، إذ يضيف تطبيقك قيمة عشوائية جديدة إلى الترويسة وإلى كل وسم script. وتناسب التجزئات الصفحات الثابتة التي لا تتغير سكربتاتها المضمّنة أبدًا. أما قائمة السماح للمضيفين فهي الخيار الأضعف.
2. أضف المضيفين الذين تحتاج إليهم صفحاتك
أدرج مضيفي الصور والخطوط وAPI والإطارات التي تستخدمها صفحاتك. ومع 'strict-dynamic'، لا تحتاج السكربتات التي يحمّلها سكربت موثوق إلى إدخال مضيف.
3. ابدأ بوضع Report-Only
أرسل السياسة بوصفها Content-Security-Policy-Report-Only مع نقطة نهاية للتقارير، وأصلح ما تُبلغ عنه، ثم انتقل إلى Content-Security-Policy.
4. أرسلها كترويسة استجابة
لا يمكن لوسم meta أن يحمل frame-ancestors أو report-uri أو report-to أو sandbox، ولا أن يسلّم سياسة Report-Only. وعلى Cloudflare، يمكن لقاعدة تحويل ترويسات الاستجابة ضبط ترويسة قائمة على التجزئة أو قائمة السماح لمنطقة DNS؛ أما قيمة nonce فيجب أن يولّدها تطبيقك لكل استجابة.
فحوصات ذات صلة والخطوات التالية
- مُقيِّم CSP
الصق سياسة موجودة أو اجلبها من عنوان URL وقيّمها.
- فاحص ترويسات أمن HTTP
تحقّق من أن الترويسة التي نشرتها مفعّلة، إلى جانب تسع ترويسات أمان أخرى.
- أداة فحص HSTS
افحص Strict-Transport-Security وأهلية الإدراج في قائمة التحميل المسبق لـHSTS.
- Cloudflare WAF
كيف تعمل قواعد Cloudflare WAF، وكيف تُعدّها Vigilbase وتضبطها وفق ضوابط إدارة التغيير.
خدمات Cloudflare المُدارة
حافظ على ضبط Cloudflare ومراقبته وتحسينه. تتولى Vigilbase التغييرات والاستجابة للحوادث المتفق عليها، مع خيارات تغطية Core وPriority وCritical.
استكشف خدمات Cloudflare المُدارةSOC مُدار
SOC مُدار على أدوات الأمان التي تدفع مقابلها بالفعل. يحقق وكيل Vigil، ويتولى محللونا الحالات الاستثنائية، وتتبع التغطية مستوى اتفاقية الخدمة لديك.
استكشف خدمة SOC المُدارةالمصادر
الأسئلة
أسئلة شائعة عن مولّد CSP
هل أستخدم nonce أم تجزئة؟
استخدم nonce عندما تُولَّد الصفحات مع كل طلب، لأن تطبيقك يستطيع إضافة قيمة عشوائية جديدة إلى الترويسة وإلى كل وسم script. واستخدم التجزئات عندما تكون الصفحات ثابتة ولا تتغير سكربتاتها المضمّنة، فأي تعديل على السكربت يغيّر تجزئته.دليل عملي لحماية المواقع
ما وظيفة 'strict-dynamic'؟
يسمح أيضًا بتشغيل السكربتات التي يحمّلها سكربت موثوق (له nonce أو تجزئة) دون إدراج مضيفيها. وتتجاهل المتصفحات الداعمة له مصادر المضيفين والمخططات و'self' و'unsafe-inline' فيما يخص السكربتات، لذا يمكن إبقاء https: و'unsafe-inline' في السياسة كبدائل احتياطية للمتصفحات القديمة.
كيف أولّد قيمة nonce لسياسة CSP؟
لكل استجابة، أنشئ 16 بايتًا عشوائيًا على الأقل باستخدام مولّد أرقام عشوائية آمن تشفيريًا، ورمّزها بترميز base64. ضع القيمة في الترويسة بصيغة 'nonce-VALUE' وفي سمة nonce لكل وسم script. لا تُعِد استخدام قيمة nonce أبدًا، ولا تبنِها من بيانات يمكن التنبؤ بها.
هل يمكنني وضع السياسة في وسم meta؟
جزئيًا فقط. لا يمكن لوسم meta أن يحمل frame-ancestors أو report-uri أو report-to أو sandbox، ولا أن يسلّم سياسة Report-Only، ولا ينطبق على المحتوى الذي يسبقه في الصفحة. ويستبعد مقتطف وسم meta تلك التوجيهات.
هل ستعطّل السياسة موقعي؟
قد يحدث ذلك، ولهذا يوفّر المولّد وضع Report-Only. عندها تُبلغ المتصفحات عمّا كانت السياسة ستحظره دون أن تحظره فعليًا. أصلح المصادر المُبلَّغ عنها، ثم حوّل الترويسة إلى Content-Security-Policy.فاحص ترويسات أمن HTTP
هل يُخزَّن أي شيء أُدخله؟
لا. يعمل المولّد في متصفحك، ولا يُرسَل أي شيء تُدخله إلى Vigilbase.الخصوصية والتعامل مع البيانات