הרקע: דרישת אבטחה חשובה למניעת הזרקת קוד והרצת סקריפטים זדוניים.
ביתר פירוט, Content Security Policy הוא מנגנון אבטחה חשוב בדפי אינטרנט
המגן מפני מתקפות כמו XSS על ידי הגבלת מקורות התוכן שהדפדפן רשאי לטעון ולהריץ.

הבעיה: יש המון מקורות, הפרוטוקול מורכב ואם תקשיחו הגדרות – יש מצב שתפגעו באתר.
לדוגמה: פונט לא יטען, סקריפט JS לא ירוץ, וידאו לא יוצג ועוד ועוד.

הפתרון: אני ויתרתי על תוספים לטובת קוד HTACCESS באתרי apache או תוסף משלי לאיחסונים אחרים.
פתרון מקצועי: תמיד ניתן לבדוק, יש רשימת כלי בדיקה: לדוגמה

היתרון: שקט נפשי ללקוח ולך

סיפור מהחיים: שרת VPS עם 8 מעבדים הגיע לעומס מעל 100 !! שזה חנק אותו והחנות לא תיפקדה.
והיה קשה לזהות את המקור כי העומס התפרץ בצורה אקראית. לפעמים פעמיים ביום ולפעמים יותר מ 10.

לאתר שמוכר ב 10K ש"ח ליום מדובר בנזק של מאות עד אלפי ש"ח שהולכים לאיבוד.
מצאנו ששתלו לו קוד שהפעיל סרטונים באינסטגרם, שלא היה אמור.
קוד CSP פתר את הבעיה.
אם יש לכם אירועים כאלה? דברו איתנו