CSP temelleri

Content Security Policy ile hangi kaynaklardan script çalışabileceğini sınırlamayı öğrenirsin.

CSP nedir?

Content Security Policy (CSP), tarayıcıya hangi kaynakların yüklenip çalıştırılabileceğini söyleyen bir güvenlik katmanıdır. Bir HTTP yanıtı başlığı veya meta etiketi ile ayarlanır.

CSP, XSS saldırılarının etkisini büyük ölçüde azaltır. default-src 'self' ilkesi yalnızca aynı kökenden gelen kaynaklara izin verir; satır içi script ve uzak kaynaklar varsayılan olarak engellenir.

Nonce ile seçici izin

Bir nonce, her istekte değişen rastgele bir sayıdır ve tek bir script etiketine izin verir. CSP başlığında script-src 'nonce-rastgele' yazılır; etiket de nonce özniteliğiyle aynı değeri taşımalıdır.

Böylece saldırganın enjekte ettiği script, doğru nonce'u bilemediği için çalışmaz. Nonce, satır içi script'lere seçici izin vermenin güvenli yoludur.

Uygulama Script'e nonce ekle

addNonce fonksiyonu yaz, parametre script ve nonce. script.nonce = nonce ile nonce değerini ata. Sonra document.head.appendChild(script) ile head'e ekle.

Örnek çözümü göster

Önce fonksiyonu tanımla, sonra script.nonce'a değeri ata, son olarak head'e ekle.
Örnek çözüm:
function addNonce(script, nonce) {
  script.nonce = nonce;
  document.head.appendChild(script);
}

Kendini test et

Hangi CSP direktifi yalnızca aynı kökenden script yüklemeye izin verir?
- script-src 'unsafe-inline'
- script-src 'self'
- script-src '*'
- default-src 'unsafe-eval'
Cevabı göster

script-src 'self' — Doğru! script-src 'self' yalnızca aynı kökenden script yüklemeye izin verir.

CSP ilkesini tamamla

const policy = "default-src ____";

Cevabı göster

const policy = "default-src 'self'";

CSP direktiflerini eşleştir

default-src

genel varsayılan
script-src

script kaynakları
style-src

stil kaynakları
img-src

görsel kaynakları

Sıradaki ders: Güvenli değerlendirme

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler