CSP na prática: do report-only à política estrita
Um caminho incremental para endurecer a política sem quebrar a aplicação.
por @lu.appsec · 28 set
Comece em report-only
Publique a política sem bloquear nada e colete relatórios por alguns dias.
Mapeie as origens
Liste scripts, estilos e imagens que a aplicação realmente usa e de onde vêm.
Aperte por etapas
Troque curingas por origens explícitas e remova unsafe-inline com nonces.
frame-ancestors importa
Impedir que a área autenticada seja exibida em frame fecha uma classe inteira de ataques.