FmindGuida alla sicurezza
Protezione contro gli script dannosi (CSP)
Una Content Security Policy indica ai browser quali script e risorse il Suo sito può caricare. Senza di essa, un codice dannoso infiltrato nel Suo sito (ad esempio tramite un plugin vulnerabile) viene eseguito liberamente nei browser dei Suoi visitatori e può rubare ciò che digitano.
Chi può aiutarLa
Il Suo sviluppatore web
Verificare prima di modificare
Segua questi passaggi per un sito web o un dominio di posta che gestisce. Completi i segnaposto in maiuscolo con i Suoi valori. Se un passaggio fa riferimento a prove salvate, esegua il controllo gratuito e verifichi il Suo dominio per aprire il rapporto privato. Usi il nome host o il nome di interrogazione DNS esatto indicato lì.
- Controlli sia Content-Security-Policy sia Content-Security-Policy-Report-Only sulla home page HTTPS. Con il Suo sviluppatore, elenchi gli script, i frame, i font e le connessioni di cui il sito ha bisogno prima di redigere un criterio report-only, e scelga un indirizzo per le segnalazioni che Lei approva.
Criterio applicato esistente: RECORD
Criterio Report-Only esistente: RECORD
Risorse necessarie e percorsi essenziali: INVENTORY
Destinazione e conservazione delle segnalazioni: OWNER_APPROVALCosa fare
Qui serve cautela, perché un criterio troppo restrittivo può bloccare il funzionamento del sito. Chieda al Suo sviluppatore di elencare gli script, i font e i servizi che il sito utilizza (statistiche, pagamenti, chat), poi di provare un criterio in modalità “report-only” (solo segnalazione), che segnala i problemi senza bloccare nulla. Passi all’applicazione effettiva solo quando le pagine principali funzionano, e tenga pronta l’impostazione precedente da ripristinare.
Come verificare la modifica
Ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi provi le pagine principali (modulo di contatto, pagamento, prenotazione) per assicurarsi che tutto funzioni ancora.
Cosa può stabilire questo controllo
Verifichiamo che la Sua home page invii un criterio applicato che limita gli script, senza 'unsafe-inline' né origini jolly (wildcard). La sua presenza non dimostra che sia completo né che il Suo sito non possa essere attaccato.