Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация
Настройте политику безопасности контента (CSP) для всех страниц портала, чтобы защититься от межсайтового скриптинга (XSS) и других атак с внедрением кода. CSP определяет надежные источники контента, например скриптов, стилей и изображений. После настройки правил браузер будет блокировать контент, загруженный из ненадежных источников.
CSP добавляется в виде заголовка HTTP-ответа Content-Security-Policy на все страницы портала следующим образом:
Content-Security-Policy: policy
Правила задаются с помощью директив, описанных в разделе Content Security Policy Directives на сайте W3C.
Если вы включите заголовок CSP, по умолчанию будет определена следующая директива CSP:
default-src 'unsafe-eval' 'unsafe-inline' * data:
Директива default-src задает правила по умолчанию для типов ресурсов, для которых не настроена директива.
В таблице ниже описаны правила, определенные в директиве по умолчанию.
| Правила | Доступ |
|---|---|
'unsafe-inline' |
Встроенные ресурсы, например встроенные элементы <script>, URL javascript:, встроенные обработчики событий и встроенные элементы <style>. Примечание. Правило нужно заключить в одинарные кавычки. |
'unsafe-eval' |
Небезопасная оценка динамического кода, например JavaScript eval() и аналогичные методы, используемые для создания кода из строк. Примечание. Правило нужно заключить в одинарные кавычки. |
* (wildcard) |
Любой URL, кроме схем data:, blob: и filesystem:. |
data: |
Ресурсы, загруженные с помощью схемы данных (например, изображения, закодированные в Base64). |
Ниже приведены примеры настройки CSP для ограничения определенных типов ресурсов.
| Правила | Доступ |
|---|---|
default-src 'none' |
Нет доступа к типам ресурсов, для которых не задана директива. |
img-src * |
URL изображения из любого источника. |
media-src https://example.com/ |
URL видео или аудио с протоколом HTTPS из домена example.com. |
script-src *.example.com |
Выполнение любого скрипта из субдомена example.com. |
style-src 'self' css.example.com |
Применение любого стиля из источника сайта или домена css.example.com. |
Чтобы настроить правила в отношении безопасности контента:
- Выберите Опубликовать > Порталы и выберите нужный портал.
- В раскрывающемся меню на верхней панели навигации выберите Настройки.
- Также можно нажать Настройки на целевой странице портала.
- Выберите вкладку Безопасность.
- Нажмите Включить Content Security Policy.
- Настройте CSP или оставьте значение по умолчанию.
- Нажмите Сохранить.
Вы можете в любой момент восстановить правила CSP по умолчанию, нажав Восстановить по умолчанию.