הנחיות שהשרת שולח לדפדפן ומגבילות מה מותר לעמוד לעשות: מאיפה לטעון קוד, מה להציג במסגרת, ואיך להתייחס לחיבור.
זו שכבת הגנה זולה במיוחד: כמה שורות הגדרה שמצמצמות משמעותית את הנזק האפשרי מהזרקת קוד או מהטמעה זדונית של האתר.
רוב האתרים שאנחנו בודקים מגיעים בלעדיהן, וזה בדרך כלל הפריט הראשון בדוח האבטחה, כי היחס בין המאמץ לתועלת הוא הטוב ביותר בכל הרשימה.
באתר יש שדה תגובות, ומישהו מצליח להזריק אליו שורת קוד שטוענת סקריפט מדומיין זר. בלי כותרות אבטחה הדפדפן מריץ אותו אצל כל גולש שפותח את העמוד.
עם Content-Security-Policy שמתירה קוד רק מהדומיין של האתר ומ-Google Tag Manager, הדפדפן מסרב לטעון את הסקריפט, והניסיון יכול להירשם בדוח. הכול מהגדרה אחת בשרת.
הערך הבא במילון
מה שלא נענה כאן נשלח ב-WhatsApp לחבר צוות, עם שם המונח, וחוזר עם תשובה של מי שעובד עם זה כל יום.