Content Security Policy: Kako pravilno napisati CSP koji zaista štiti

← Blog

Kako CSP funkcioniše

CSP (Content Security Policy) je whitelist-bazirani sistem: server definiše listu dozvojenih izvora za svaki tip resursa. Browser blokira sve što nije eksplicitno dozvoljeno. Ako napadač ubaci XSS script koji učitava kod sa evil.com, a evil.com nije na listi, browser neće izvršiti script.

Anatomija CSP direktiva

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'nonce-abc123' https://cdn.jsdelivr.net;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;
  font-src 'self' https://fonts.gstatic.com;
  connect-src 'self' https://api.vasafirma.rs;
  frame-ancestors 'none';
  base-uri 'self';
  form-action 'self'

Ključne direktive

• default-src — fallback za sve direktive koje nisu eksplicitno definisane
• script-src — koji JS sme da se izvrši
• style-src — koji CSS sme da se učita
• img-src — odakle slike smeju da se učitaju
• connect-src — koji URL-ovi su dozvoljeni za XHR/fetch/WebSocket
• frame-ancestors — ko sme da ubaci vaš sajt u iframe (zamena za X-Frame-Options)
• base-uri — ograničava vrednost <base> taga
• form-action — kuda forme smeju da šalju podatke

Zašto 'unsafe-inline' uništava CSP

'unsafe-inline' u script-src dozvoljava sve inline skripte — uključujući one koje je napadač ubacio. Ovo praktično poništava XSS zaštitu CSP-a. Nažalost, mnogi sajti moraju imati inline skripte zbog legacy koda ili analitike.

Rešenje: Nonces

Nonce (number used once) je nasumični token koji server generiše za svaki request i dodaje u CSP header i u svaki legitimni <script> tag:

# Server (Python/Flask):
import secrets
nonce = secrets.token_hex(16)
# CSP header:
script-src 'nonce-{nonce}'
# HTML:
<script nonce="{nonce}">...</script>

Browser izvršava samo skripte čiji nonce odgovara onom u headeru. Napadačev ubačeni script nema nonce i ne izvršava se.

Rešenje: Hashes

Ako imate statičke inline skripte, možete izračunati njihov SHA-256 hash i dodati ga u CSP:

script-src 'sha256-abc123...'

Browser izvršava samo onu skriptu čiji hash odgovara. Menjanje skripte zahteva ažuriranje hasha.

Strict-CSP pristup

Google preporučuje "Strict CSP" koji koristi nonces i 'strict-dynamic':

Content-Security-Policy:
  script-src 'nonce-{nonce}' 'strict-dynamic';
  object-src 'none';
  base-uri 'none'

'strict-dynamic' propagira poverenje nonce-tagged skripti na skripte koje one dinamički učitavaju — rešava problem sa JavaScript modulima koji sami ubrizgavaju skripte u DOM.

CSP Report-Only: Testiranje bez rizika

Pre aktivacije pravog CSP-a, koristite report-only mod koji loguje kršenja ali ne blokira ništa:

Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report

Analizirajte izveštaje nekoliko dana da identifikujete sve legitimne resurse koji bi bili blokirani.

Česte greške

• script-src * — wildcard koji dozvoljava bilo koji izvor (beskorisno)
• 'unsafe-eval' u script-src (dozvoljava eval(), otvara napad vektore)
• Zaboraviti frame-ancestors — ne štiti od clickjackinga
• Nedostatak base-uri 'self' — napadač može promeniti base URL i preusmeriti sve relativne linkove
• Previše opširna lista u script-src (koristite nonce umesto liste domena)

← Blog

How CSP Works

CSP (Content Security Policy) is a whitelist-based system: the server defines a list of allowed sources for each resource type. The browser blocks anything not explicitly permitted. If an attacker injects XSS script loading code from evil.com, and evil.com isn't on the list, the browser won't execute the script.

Why 'unsafe-inline' Defeats CSP

'unsafe-inline' in script-src allows all inline scripts — including those injected by an attacker. This practically negates CSP's XSS protection. Unfortunately, many sites need inline scripts due to legacy code or analytics.

Solution: Nonces

A nonce (number used once) is a random token the server generates for each request and adds to both the CSP header and each legitimate <script> tag:

# Server (Python/Flask):
import secrets
nonce = secrets.token_hex(16)
# CSP header:
script-src 'nonce-{nonce}'
# HTML:
<script nonce="{nonce}">...</script>

The browser only executes scripts whose nonce matches the one in the header. An attacker's injected script has no nonce and is not executed.

Strict-CSP Approach

Google recommends a "Strict CSP" that uses nonces and 'strict-dynamic':

Content-Security-Policy:
  script-src 'nonce-{nonce}' 'strict-dynamic';
  object-src 'none';
  base-uri 'none'

CSP Report-Only: Testing Without Risk

Before activating a real CSP, use report-only mode which logs violations without blocking anything:

Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report

Analyze reports for a few days to identify all legitimate resources that would be blocked.

Common Mistakes

• script-src * — wildcard allowing any source (useless)
• 'unsafe-eval' in script-src (allows eval(), opens attack vectors)
• Forgetting frame-ancestors — doesn't protect against clickjacking
• Missing base-uri 'self' — attackers can change the base URL and redirect all relative links