CSP-richtlijnreferentie

De CSP-richtlijnreferentie behandelt elk instructieveld dat beschikbaar is in de Content Security Policy-instellingen van Document360, samen met best practices voor het configureren ervan, methoden om je beleid te testen en richtlijnen voor het oplossen van problemen met geblokkeerde bronnen. Gebruik deze referentie nadat je CSP hebt ingeschakeld en klaar bent om je beleid te configureren of valideren.

CSP-richtlijngroepen

CSP-instellingen in Document360 zijn georganiseerd in vier groepen. Alle velden accepteren komma-gescheiden domein-URL's in het formaat https://example.com.

Codebeleid

Deze groep bepaalt de bronnen waaruit code en stylingbronnen worden geladen. De Default source-richtlijn fungeert als een fallback voor elk resourcetype dat geen specifiekere regel heeft gedefinieerd.

Resource control

Deze groep bepaalt welke externe domeinen media- en databronnen mogen leveren, zoals afbeeldingen, lettertypen, API-aanroepen en scripts voor achtergrondmedewerkers.

Embedding & Beveiliging

Deze groep bepaalt hoe je kennisbasis externe inhoud inbedden en hoe deze zelf op andere websites kan worden ingebed. Het is vooral belangrijk voor het voorkomen van clickjacking-aanvallen en het beheren van inhoud van derden zoals video's, widgets en portalen.

Verslaggeving

De Rapportage-groep instrueert browsers om overtredingrapporten naar een aangewezen eindpunt te sturen telkens wanneer een resource door uw beleid wordt geblokkeerd. Dit is essentieel om verkeerde configuraties en potentiële aanvalpogingen te identificeren zonder je site te verstoren.

Best practices

• Begin met een beperkende standaard — Zet Default source op 'self' eerste. Dit creëert een veilige basislijn waarbij alleen bronnen uit je eigen domein zijn toegestaan, tenzij expliciet elders toegestaan. Voeg specifieke domeinen toe in gerichte velden in plaats van de standaardbron te verbreden.

• Gebruik specifieke richtlijnen in plaats van brede toelaatlijsten — In plaats van veel domeinen toe te voegen aan Standaardbron, gebruik je de beoogde velden: Script source, Frame source, Connect source, enzovoort. Dit maakt de polis makkelijker te onderhouden en vermindert ongewenste overblootstelling.

• Gebruik rapportage voordat je afdwingt — Configureer eerst het Rapport-endpoint zodat je geblokkeerde bronnen kunt monitoren voordat het beleid je lezers beïnvloedt. Bekijk overtredingsrapporten enkele dagen of weken voordat je het beleid aanscherpt.

• Gebruik nonce voor aangepaste inline scripts — Gebruik altijd de {{Document360-Nonce}} placeholder in aangepaste HTML-scriptsecties. Dit maakt het mogelijk om betrouwbare inline scripts veilig te draaien zonder gebruik te maken 'unsafe-inline'van , wat je hele scriptbeleid zou ondermijnen.

Hoe test je je Content Security Policy

Controleer na het configureren en opslaan van je CSP-instellingen of het beleid werkt zoals verwacht met een van de volgende methoden.

Methode 1: Via paginabron

1. Open je Knowledge Base-site in een browser.
2. Klik met de rechtermuisknop ergens op de pagina en selecteer Pagina Broncode weergeven.
3. Druk op Ctrl+F (Windows) of Cmd+F (Mac) en zoek naar Content-Security-Policy.
4. Als deze wordt gevonden, verschijnt de volledige CSP-configuratie naast deze term, waarmee wordt bevestigd dat deze actief is.

Methode 2: Via browserontwikkelaarstools

1. Open de ontwikkelaarstools van je browser (F12 of met de rechtermuisknop > Inspecteren).
2. Ga naar het tabblad Netwerk .
3. Bezoek je kennisbank en selecteer een willekeurig pageverzoek.
4. Bekijk de HTML-pagina op de CSP-metatag.

Methode 3: Via online tools

Je kunt ook externe tools zoals securityheaders.com gebruiken om de beveiligingsconfiguratie van je locatie te analyseren. Omdat Document360 een meta-element gebruikt in plaats van een responsheader, kunnen sommige tools CSP als afwezig rapporteren op headerniveau — dit is te verwachten.

Veelvoorkomende problemen

De video toont in het ene artikel als 'Deze inhoud is geblokkeerd', maar niet in een ander

Het domein dat de video bedient staat niet in je Frame-bronlijst, of het domein verschilt tussen embed-types (bijvoorbeeld https://www.youtube.com voor standaard embeds versus https://www.youtube-nocookie.com privacy-enhanced embeds). Voeg beide toe aan Frame source.

Aangepast lettertype wordt verkeerd weergegeven of valt terug op systeemlettertype

Lettertypeleveranciers gebruiken doorgaans twee verschillende domeinen — één voor het CSS-stylesheet en één voor de daadwerkelijke lettertypebestanden. Beide moeten worden vermeld. Voor Google Fonts, voeg toe https://fonts.googleapis.com aan Style source en https://fonts.gstatic.com Font source.

Chatwidget laadt maar werkt niet

Chatwidgets laden vaak scripts, voeren API-aanroepen uit en laden afbeeldingen uit meerdere domeinen. Controleer de browserconsole op alle geblokkeerde verzoeken — er kunnen er meerdere zijn. Voeg alle benodigde domeinen toe aan de juiste richtlijnvelden (Script source, Connect source, Image source).

Formulierindiening is geblokkeerd

Als een formulier in je kennisbank wordt ingediend bij een externe dienst, voeg dan het domein van die dienst toe aan het formulieractieveld.

Overtredingrapporten komen niet aan bij het Rapporteer-eindpunt

Controleer dat:

• De endpoint-URL is openbaar bereikbaar (niet achter een VPN of firewall).
• Het eindpunt accepteert POST-verzoeken en geeft een 2xx-antwoord terug.
• Het eindpunt ondersteunt het Content-Type: application/csp-report verzoekformaat.
• Als je de Report to-richtlijn gebruikt, is de benoemde rapportagegroep correct geconfigureerd in je infrastructuur.

De CSP-validatietool meldt CSP als ontbrekend

Document360 implementeert CSP via een meta-element in de paginabron, niet via een HTTP-responsheader. Tools die alleen responsheaders controleren, melden CSP als ontbrekend. Om te bevestigen dat CSP is ingeschakeld, bekijk je de broncode van de pagina en zoek je naar Content-Security-Policy.

Browserverschillen

De meeste moderne browsers (Chrome, Firefox, Edge, Safari) ondersteunen het CSP-meta-element. Bekende verschillen:

• frame-ancestors wordt genegeerd wanneer het via een meta-element wordt geleverd in sommige oudere browserversies. Als bescherming tegen frame embedding cruciaal is, schakel dan ook X-Frame Protection in.
• Safari kan sommige CSP-richtlijnen anders afhandelen dan Chrome en Firefox. Test je configuratie in Safari als je gebruikers op Apple-apparaten zitten.
• Zeer oude browsers (Internet Explorer 11 en lager) ondersteunen geen CSP. Als je IE11-gebruikers hebt, wordt CSP stilletjes genegeerd.

FAQ

{
  "csp-report": {
    "document-uri": "https://docs.yourcompany.com/article",
    "violated-directive": "script-src 'self'",
    "blocked-uri": "https://cdn.example.com/widget.js",
    "original-policy": "default-src 'self'; script-src 'self'"
  }
}