La política de contenido (CSP)

Una CSP es una lista de directivas, cada una sobre un tipo de recurso: default-src es el valor por defecto para todos, script-src manda sobre los scripts, style-src sobre los estilos, frame-ancestors sobre quién puede incrustar la página. Cada directiva lleva una lista de orígenes permitidos; 'self' es el propio sitio. Lo que no encaja con la lista, el navegador no lo carga ni lo ejecuta.

Su límite hay que decirlo con claridad: la CSP no repara un XSS, lo contiene. Si la aplicación imprime la entrada del usuario sin codificarla, el fallo sigue ahí y se corrige en el código; la CSP es la red que reduce el daño si algo se escapa. Por eso en el informe se recomiendan las dos cosas, en ese orden.

Una política se lee directiva por directiva, buscando comodines. Un asterisco permite cargar desde cualquier origen del tipo que gobierna. En imágenes suele ser un descuido de poco impacto; en scripts sería grave. Aun así, el auditor lo anota y lo pesa, no lo ignora: una política con comodines que nadie decidió es señal de que nadie la revisó.

Abre respuesta-tienda.http y lee la política vigente.

La directiva más importante contra el XSS es script-src, y dentro de ella hay una palabra clave que casi la desactiva: 'unsafe-inline', que permite los scripts escritos dentro de la propia página. Es justamente lo que un XSS inyecta, así que con esa palabra la política deja pasar el ataque que debía frenar. La alternativa es autorizar cada script legítimo con un nonce (un valor distinto en cada respuesta) o con una huella, y dejar fuera lo demás.

El comodín de las imágenes es un hallazgo menor; esta palabra, en los scripts, es el hallazgo que decide si la CSP sirve para algo.

Endurecer una CSP de golpe rompe páginas: cualquier script o estilo que nadie recordaba aparece bloqueado. Por eso existe una variante de la cabecera que no bloquea, solo informa: el navegador evalúa la política, deja que todo cargue y manda un informe de cada violación a un colector. El equipo la usa durante una o dos semanas para ver qué rompería, y cuando el informe se calma, la pasa a la versión que bloquea.

Abre informes-csp.txt. Cada fila es una violación agrupada por directiva y recurso, con su conteo de la semana. Una de ellas viene de un host externo con más bloqueos que las demás.

Que una política esté en prueba o en vigor depende solo del nombre de la cabecera, y es un error frecuente creer que una está en vigor cuando es la que solo informa. El auditor lo comprueba: una política que solo informa no bloquea nada, y no cuenta como defensa hasta que se promueva.

Abre politica-en-prueba.http y lee el nombre exacto de la cabecera.