Nagłówki Content-Secure-Policy

Question

Przeprowadzam ocenę bezpieczeństwa aplikacji internetowej i stwierdziłem, że nie ma ona polityki Content-Security-Policy, ale zamiast tego ma Content-Secure-Policy. Dosłownie pierwszy raz widzę taki przypadek i chciałbym wiedzieć: Czy te dwa nagłówki są równoważne?

Czy przeglądarki będą w stanie rozpoznać niniejsze zasady dotyczące bezpieczeństwa treści?

Answer 1

Nie są równoważne.

Wersja robocza W3C dla CSP definiuje tylko nagłówki Content-Security-Policyi Content-Security-Policy-Report-Only. Dokument nie definiuje żadnych innych nagłówków.

Oznacza to, że przeglądarki mogą zdecydować się na uwzględnienie tej konkretnej literówki, ale jest mało prawdopodobne, aby producenci przeglądarek próbowali przewidzieć wszystkie możliwe sposoby błędnej pisowni Content-Security-Policy, aby poprawić zgodność.

Jak teraz postępować?

Oznacz to jako wynik, stwierdzając, że ich nagłówek CSP jest źle sformułowany i prawdopodobnie zostanie zignorowany przez przeglądarki. Naprawienie tego i tak nie powinno być trudne. Jeśli programiści stwierdzą, że jakaś dowolna przeglądarka, na której to przetestowali, nadal z nią współpracuje, nadal możesz wspomnieć, że nie jest to uwzględnione w żadnej wersji roboczej i jest zachowaniem specyficznym dla implementacji - a zatem stanowi ryzyko.