FmindGuia de segurança
Proteção contra scripts maliciosos (CSP)
Uma Content Security Policy (política de segurança de conteúdo) indica aos navegadores que scripts e recursos o seu site pode carregar. Sem ela, código malicioso introduzido no seu site (por exemplo, através de um plugin vulnerável) é executado livremente nos navegadores dos seus visitantes e pode roubar o que estes escrevem.
Quem pode ajudar
O seu programador web
Inspecionar antes de alterar
Siga estes passos para um site ou domínio de e-mail que gere. Preencha os marcadores em maiúsculas com os seus próprios valores. Se um passo se referir a evidências guardadas, faça a verificação gratuita e verifique o seu domínio para abrir o relatório privado. Utilize o nome de anfitrião exato ou o nome de consulta DNS aí indicado.
- Verifique tanto Content-Security-Policy como Content-Security-Policy-Report-Only na página inicial HTTPS. Com o seu programador, liste os scripts, frames, tipos de letra e ligações de que o site precisa antes de redigir uma política report-only, e escolha um endereço que aprove para receber os relatórios.
Política aplicada existente: RECORD
Política Report-Only existente: RECORD
Recursos necessários e percursos essenciais: INVENTORY
Destino e retenção dos relatórios: OWNER_APPROVALO que fazer
Isto exige cuidado, porque uma política demasiado restritiva pode impedir o seu site de funcionar. Peça ao seu programador que liste os scripts, tipos de letra e serviços que o site utiliza (estatísticas, pagamentos, chat) e que teste depois uma política em modo «report-only» (só relatório), que assinala problemas sem bloquear nada. Passe à aplicação efetiva só quando as suas páginas principais funcionarem e mantenha a definição anterior pronta a repor.
Como verificar a alteração
Execute novamente esta verificação: este ponto deverá aparecer como «Bom». Depois, teste as suas páginas principais (formulário de contacto, pagamento, reservas) para garantir que nada deixou de funcionar.
O que esta verificação permite estabelecer
Verificamos se a sua página inicial envia uma política aplicada que limita os scripts, sem 'unsafe-inline' nem fontes com caráter universal (wildcard). Ter uma política não prova que esteja completa nem que o seu site não possa ser atacado.