FmindGuía de seguridad
Protección contra scripts maliciosos (CSP)
Una política de seguridad de contenido (Content Security Policy) indica a los navegadores qué scripts y recursos puede cargar su sitio. Sin ella, el código malicioso introducido en su sitio (por ejemplo, a través de un plugin vulnerable) se ejecuta libremente en los navegadores de sus visitantes y puede robar lo que escriben.
Quién puede ayudarle
Su desarrollador web
Inspeccionar antes de cambiar
Siga estos pasos para un sitio web o un dominio de correo que usted gestione. Complete los marcadores en mayúsculas con sus propios valores. Si un paso hace referencia a evidencias guardadas, haga la comprobación gratuita y verifique su dominio para abrir el informe privado. Utilice el nombre de host exacto o el nombre de consulta DNS que aparece allí.
- Revise tanto Content-Security-Policy como Content-Security-Policy-Report-Only en la página de inicio HTTPS. Con su desarrollador, haga una lista de los scripts, marcos (frames), fuentes tipográficas y conexiones que necesita el sitio antes de redactar una política report-only, y elija una dirección de recepción de informes que usted apruebe.
Política aplicada actual: RECORD
Política Report-Only actual: RECORD
Recursos necesarios y recorridos esenciales: INVENTORY
Destino y conservación de los informes: OWNER_APPROVALQué hacer
Esto requiere cuidado, porque una política demasiado estricta puede estropear su sitio. Pida a su desarrollador que haga una lista de los scripts, las fuentes tipográficas y los servicios que usa su sitio (analítica, pagos, chat) y que pruebe una política en modo «report-only» (solo informar), que señala los problemas sin bloquear nada. Pase a aplicarla solo cuando sus páginas clave funcionen, y tenga lista la configuración anterior para restaurarla.
Cómo verificar el cambio
Vuelva a ejecutar esta comprobación: este punto debería indicar «Correcto». Después, pruebe sus páginas clave (formulario de contacto, pago, reservas) para asegurarse de que nada ha dejado de funcionar.
Qué puede establecer esta comprobación
Comprobamos que su página de inicio envía una política aplicada que limita los scripts, sin 'unsafe-inline' ni orígenes con comodín. Tenerla no demuestra que sea completa ni que su sitio no pueda ser atacado.