Контент-безопасность

Контент-безопасность добавляет на витрины вашего сайта и магазина заголовок Content-Security-Policy . Он запрещает браузеру выполнять скрипты и загружать ресурсы с сайтов, которые вы не разрешили. Если злоумышленник внедрит на страницу чужой код (XSS, заражённый плагин, подмена счётчика), браузер покупателя его не выполнит, а вы узнаете об этом из отчёта.

Версия 2.0 написана заново. Настроить защиту теперь может владелец магазина, а не только специалист по безопасности: приложение само наблюдает за сайтом, объясняет, что нашло, и подсказывает решения.

Как это работает

Наблюдение. Приложение отправляет политику в режиме «только отчёты»: ничего не блокируется, браузеры посетителей присылают отчёты обо всём, что политика запретила бы. Адрес приёма отчётов настраивается одной кнопкой.

Разбор. Найденные источники собраны в список. Для каждого видно, что он загружал (скрипты, стили, картинки, шрифты, фреймы…), на каких страницах и сколько раз. Известные сервисы распознаются автоматически.

Защита. Когда всё нужное разрешено, защита включается. Перед этим приложение проверяет готовность и показывает, что было бы заблокировано. Вернуться в режим наблюдения можно в один клик.

Возможности

Мастер первого запуска : проводит от проверки витрин до включения защиты.

Умные рекомендации по результатам наблюдения: какие сервисы подключить, без каких опасных разрешений сайт уже обходится (eval, встроенные скрипты, data:), когда можно включать защиту. Рекомендации применяются одной кнопкой.

Пробная строгая политика работает параллельно с основной и ничего не блокирует. По её отчётам видно, что сайту действительно нужно, а от чего можно отказаться.

Каталог из 37 популярных сервисов с готовыми разрешениями по документации разработчиков: Яндекс Метрика с Вебвизором, Google Analytics и Tag Manager, ВКонтакте, Telegram, Яндекс и Google Карты, 2ГИС, YouTube, RUTUBE, VK Видео, SmartCaptcha, reCAPTCHA, онлайн-чаты, платёжные виджеты ЮKassa, CloudPayments, Т-Банк, Яндекс Пэй, Robokassa, виджеты СДЭК, Boxberry, Яндекс Доставки и другие.

Оценка силы политики по правилам, близким к Google CSP Evaluator, с объяснениями и кнопками «Исправить».

Предпросмотр политики простым языком и в виде заголовка, с подсветкой небезопасных мест.

Журнал нарушений : страница, файл, тип ресурса, число и время нарушений, фильтры, экспорт в CSV. Адреса хранятся без параметров запроса, срок хранения настраивается.

История изменений : каждая версия политики сохраняется, любую можно восстановить, а действия — отменить.

Встроенные скрипты через nonce с криптостойкой генерацией, а также дополнительные заголовки безопасности: X-Content-Type-Options, Referrer-Policy, X-Frame-Options, upgrade-insecure-requests.

Защита самого приложения : приём отчётов с лимитами и проверкой домена, отбраковка вредоносных данных, защита от CSRF. Ничего не попадает в политику без решения администратора.

Права доступа : пользователи с ограниченным доступом только просматривают, менять политику может администратор приложения.

Политика собирается для каждого домена и охватывает приложения витрины без правки шаблонов.

Новый интерфейс Webasyst 2.0 с тёмной темой и мобильной версией, русский и английский языки.

Обновление с версии 1.x

Настройки и отчёты переносятся автоматически. Режим работы сохраняется, некорректные записи отбраковываются с пояснением, а отчёт о переносе показывается в приложении.

Для разработчиков тем

Чтобы разрешить встроенный скрипт без 'unsafe-inline' , добавьте ему атрибут nonce:

Материалы по теме

Content Security Policy — MDN

Content Security Policy Level 3 — W3C

OWASP CSP Cheat Sheet

Вопросы о приложении можно задать на форуме .