Intestazioni Content-Secure-Policy

Question

Sto eseguendo una valutazione della sicurezza su un'applicazione web e ho scoperto che non ha la Content-Security-Policy, ma invece ha la Content-Secure-Policy. È letteralmente la prima volta che vedo un caso del genere e vorrei sapere: queste due intestazioni sono equivalenti?

I browser saranno in grado di riconoscere questa Content-Secure-Policy?

Answer 1

Non sono equivalenti.

La bozza W3C per CSP definisce solo le intestazioni Content-Security-Policye Content-Security-Policy-Report-Only. Nessun altra intestazione è definita dal documento.

Ciò significa che i browser possono scegliere di includere questo errore di battitura specifico, ma è improbabile che i fornitori di browser tenteranno di prevedere tutti i possibili modi di scrivere Content-Security-Policyin modo errato al fine di migliorare la compatibilità.

Come procedere adesso?

Contrassegnalo come risultato, affermando che la loro intestazione CSP non è valida e sarà probabilmente ignorata dai browser. Ripararlo non dovrebbe comunque essere difficile. Se gli sviluppatori affermano che un browser arbitrario su cui hanno testato funziona ancora con esso, puoi comunque menzionare che non è coperto in nessuna bozza ed è un comportamento specifico dell'implementazione e quindi un rischio.