← Client-side security / client-side-security
Часто задаваемые вопросы о client-side security
Что происходит с HTTP-заголовками CSP, установленными исходным сервером, при создании правила безопасности контента?
Когда вы создаёте правила безопасности контента, Cloudflare формирует на их основе директивы политики безопасности контента (CSP) в соответствии с их конфигурацией:
- Правила типа Log создадут директивы CSP для
Content-Security-Policy-Report-OnlyHTTP-заголовок. - Правила Allow создают директивы CSP для
Content-Security-PolicyHTTP-заголовок.
Client-side security только добавляет новые HTTP-заголовки CSP к ответу. Это означает, что Cloudflare сохранит все Content-Security-Policy-Report-Only и Content-Security-Policy HTTP-заголовки в ответе, установленные исходным сервером, и добавит отдельные HTTP-заголовки для правил безопасности контента, настроенных в вашей зоне Cloudflare.
Рекомендуется иметь только одно правило в режим Allow (то есть применяется правило безопасности контента). Если применяется более одного Content-Security-Policy HTTP-заголовок в ответе, применяется наиболее строгая политика. Дополнительные сведения приведены в документация MDN ↗.
Могу ли я добавить nonce директиву CSP в правило безопасности контента?
В настоящее время Client-side security не поддерживает nonce ↗ директивы в правилах безопасности контента. Вместо этого можно использовать hash ↗ директиву CSP. Подробные сведения о поддерживаемых директивах и значениях приведены в Поддерживаемые директивы CSP.