Content-Secure-Policy başlıkları
Bir web uygulamasında güvenlik değerlendirmesi yapıyorum ve bunun İçerik Güvenliği Politikasına sahip olmadığını, bunun yerine İçerik Güvenliği Politikasına sahip olduğunu buldum. Kelimenin tam anlamıyla böyle bir durumu ilk kez görüyorum ve bilmek istiyorum: Bu iki başlık eşdeğer mi?
Tarayıcılar bu Güvenli İçerik Politikasını tanıyabilecek mi?
Yanıtlar
Eşdeğer değiller.
CSP için W3C Taslak sadece başlıkları tanımlar Content-Security-Policyve Content-Security-Policy-Report-Only. Belgede başka hiçbir başlık tanımlanmamıştır.
Bu, tarayıcıların bu belirli yazım hatasını dahil etmeyi seçebileceği anlamına gelir, ancak tarayıcı satıcılarının Content-Security-Policyuyumluluğu iyileştirmek için olası tüm yanlış yazım yollarını tahmin etme girişiminde bulunma olasılığı düşüktür .
Şimdi nasıl devam edilir?
CSP başlıklarının hatalı biçimlendirildiğini ve muhtemelen tarayıcılar tarafından yok sayılacağını belirten bir bulgu olarak işaretleyin. Zaten tamir etmek zor olmamalı. Geliştiriciler, bunu test ettikleri bazı rastgele tarayıcının hala onunla çalıştığını belirtirse, yine de herhangi bir taslakta yer almadığını ve uygulamaya özgü bir davranış olduğunu ve dolayısıyla bir risk olduğunu belirtebilirsiniz.