← Client-side security / client-side-security
Правила безопасности содержимого
Правила безопасности контента (ранее называвшиеся политиками) определяют, какие ресурсы разрешено загружать вашему приложению. Они работают через Content Security Policy (CSP) директив, которые Cloudflare добавляет в ваши HTTP-ответы. Существует два типа правил безопасности контента:
- Правила типа Log сообщают о ресурсах, не входящих в ваш список разрешений, не блокируя их.
- Правила Allow блокирует любой ресурс, не указанный явно.
Создайте правила Allow чтобы определить модель безопасности на основе списка разрешений. Вы указываете, какие именно ресурсы разрешены, а все остальное отклоняется. Такой подход уменьшает поверхность атаки для нежелательных сторонних скриптов в вашем приложении.
Правило безопасности контента может контролировать как отслеживаемые Cloudflare клиентские ресурсы, например скрипты и их соединения, так и другие типы ресурсов. См. Поддерживаемые директивы CSP для получения подробностей.
Действия правила
Правило безопасности контента может выполнять одно из следующих действий:
- Log: Cloudflare сообщает о любых ресурсах, не охваченных правилом, как нарушения правил не блокируя их. Используйте это действие, чтобы проверить новое правило безопасности контента перед его развертыванием.
- Allow: Cloudflare блокирует любые ресурсы, явно не разрешённые правилом, и регистрирует их как нарушения правил. Переключитесь на это действие после проверки правила с помощью Log действие, чтобы избежать блокировки критически важных ресурсов приложения.
Сведения о директивах CSP, которые Cloudflare создаёт для каждого типа действия правила, см. Как работает client-side security. Дополнительные сведения о директивах CSP, поддерживаемых правилами безопасности контента, см. в Поддерживаемые директивы CSP.
Сравнение
| Правило типа Log | Правило Allow | |
|---|---|---|
| Заголовок CSP | content-security-policy-report-only |
content-security-policy |
| Действие браузера | Загружает все ресурсы | Блокирует ресурсы, отсутствующие в вашем списке разрешённых |
| Нарушения | Передаётся в Cloudflare без блокировки | Записано Cloudflare после блокировки |
| Сценарий использования | Проверяйте правило перед его применением | Применение позитивной модели безопасности |
Следующие шаги
Инструкции по созданию правила контентной безопасности приведены на следующих страницах:
- Создание правила безопасности контента на панели управления
- Client-side security API: создание правила безопасности контента
Через некоторое время после настройки правил безопасности контента на панели управления Cloudflare начнут отображаться нарушения этих правил.
Вы можете фильтровать уведомления оповещений client-side security в соответствии с правилами безопасности контента, настроенными в зоне. Такие оповещения называются ограниченные оповещения.