Referência da diretiva CSP

A referência da diretiva CSP cobre todos os campos de diretiva disponíveis nas configurações de Política de Segurança de Conteúdo do Document360, juntamente com as melhores práticas para configurá-las, métodos para testar sua política e orientações para solucionar problemas de recursos bloqueados. Use esta referência depois de ativar o CSP e estiver pronto para configurar ou validar sua política.

Grupos diretivos do CSP

As configurações de CSP no Document360 são organizadas em quatro grupos. Todos os campos aceitam URLs de domínio separadas por vírgulas no formato https://example.com.

Política de código

Esse grupo governa as fontes de onde o código e os recursos de estilo são carregados. A diretiva de fonte padrão atua como um recurso de reserva para qualquer tipo de recurso que não tenha uma regra mais específica definida.

Controle de recursos

Esse grupo controla quais domínios externos podem fornecer recursos de mídia e dados, como imagens, fontes, chamadas de API e scripts de trabalhadores em segundo plano.

Incorporação e Segurança

Esse grupo controla como sua Base de Conhecimento incorpora conteúdo externo e como ele pode ser incorporado em outros sites. É especialmente importante para prevenir ataques de clickjacking e gerenciar conteúdos de terceiros, como vídeos, widgets e portais.

Relatórios

O grupo de Relatórios instrui os navegadores a enviarem relatórios de violação para um endpoint designado sempre que um recurso for bloqueado pela sua política. Isso é essencial para identificar configurações incorretas e possíveis tentativas de ataque sem atrapalhar seu site.

Melhores práticas

• Comece com um padrão restritivo — Defina a fonte padrão primeiro 'self' . Isso cria uma linha de base segura onde apenas recursos do seu próprio domínio são permitidos, a menos que sejam explicitamente permitidos em outros lugares. Adicione domínios específicos em campos específicos, em vez de ampliar o código padrão (Default source).

• Use diretivas específicas em vez de listas de permissões amplas — Em vez de adicionar muitos domínios à fonte padrão, use os campos alvo: Código fonte do script, Código fonte do quadro, Conectar código-fonte e assim por diante. Isso torna a apólice mais fácil de manter e reduz a superexposição acidental.

• Use relatórios antes de aplicar — Configure primeiro o endpoint do relatório para monitorar os recursos bloqueados antes que a política afete seus leitores. Revise os relatórios de infrações por vários dias ou semanas antes de apertar a política.

• Use nonce para scripts inline personalizados — Sempre use o {{Document360-Nonce}} marcador de lugar nas seções de scripts HTML personalizados. Isso permite que scripts inline confiáveis rodem com segurança sem usar 'unsafe-inline', o que prejudicaria toda a sua política de scripts.

Como testar sua Política de Segurança de Conteúdo

Após configurar e salvar suas configurações de CSP, verifique se a política está funcionando como esperado usando um dos seguintes métodos.

Método 1: Via fonte da página

1. Abra seu site da Base de Conhecimento em um navegador.
2. Clique com o botão direito em qualquer lugar da página e selecione Ver fonte da página.
3. Pressione Ctrl+F (Windows) ou Cmd+F (Mac) e procure por Content-Security-Policy.
4. Se encontrado, a configuração completa do CSP aparece ao lado deste termo, confirmando que está ativa.

Método 2: Via ferramentas de desenvolvimento de navegador

1. Abra as ferramentas de desenvolvimento do seu navegador (F12 ou clique com o botão direito > Inspecionar).
2. Navegue até a aba Rede .
3. Visite sua Base de Conhecimento e selecione qualquer solicitação de página.
4. Revise o HTML da página para a meta tag CSP.

Método 3: Via ferramentas online

Você também pode usar ferramentas externas, como securityheaders.com , para analisar a configuração de segurança do seu site. Como o Document360 usa um metaelemento em vez de um cabeçalho de resposta, algumas ferramentas podem relatar o CSP como ausente no nível do cabeçalho — isso é esperado.

Questões comuns

O vídeo mostra como 'Este conteúdo está bloqueado' em um artigo, mas não em outro

O domínio que serve o vídeo não está na sua lista de permissão de origem de frames, ou o domínio difere entre os tipos de embeds (por exemplo, https://www.youtube.com para embeds padrão versus https://www.youtube-nocookie.com para embeds com privacidade). Adicione ambos ao Frame Source.

A fonte personalizada é exibida incorretamente ou recorre à fonte do sistema

Os provedores de fontes normalmente usam dois domínios diferentes — um para a folha de estilo CSS e outro para os arquivos de fonte reais. Ambos devem estar listados. Para fontes do Google, adicione https://fonts.googleapis.com à fonte de estilo e https://fonts.gstatic.com à fonte de fontes.

O widget de chat carrega, mas não funciona

Widgets de chat frequentemente carregam scripts, fazem chamadas de API e carregam imagens de múltiplos domínios. Verifique no console do navegador todas as solicitações bloqueadas — pode haver várias. Adicione todos os domínios necessários aos campos diretores apropriados (Código de Script, Conectar Código, Fonte de Imagem).

O envio do formulário é bloqueado

Se um formulário na sua Base de Conhecimento for enviado para um serviço externo, adicione o domínio desse serviço ao campo de ação do Formulário.

Os relatórios de violação não estão chegando ao endpoint do Relatório

Verifique que:

• A URL do endpoint é acessível publicamente (não está atrás de VPN ou firewall).
• O endpoint aceita solicitações POST e retorna uma resposta 2xx.
• O endpoint suporta o formato de Content-Type: application/csp-report requisição.
• Se estiver usando a diretiva Report to, o grupo de relatórios nomeado está corretamente configurado na sua infraestrutura.

A ferramenta de validação do CSP reporta o CSP como ausente

O Document360 implementa o CSP por meio de um metaelemento na fonte da página, não via um cabeçalho de resposta HTTP. Ferramentas que apenas verificam cabeçalhos de resposta reportarão o CSP como ausente. Para confirmar se o CSP está ativado, veja a fonte da página e procure por Content-Security-Policy.

Diferenças nos navegadores

A maioria dos navegadores modernos (Chrome, Firefox, Edge, Safari) suporta o elemento meta CSP. Diferenças conhecidas:

• frame-ancestors é ignorado quando entregue via um elemento meta em algumas versões antigas do navegador. Se a proteção contra embedding de quadros for crítica, também ative a Proteção contra X-Quadros.
• O Safari pode lidar com algumas diretivas CSP de forma diferente do Chrome e Firefox. Teste sua configuração no Safari se seus usuários estiverem em dispositivos Apple.
• Navegadores muito antigos (Internet Explorer 11 e inferiores) não suportam CSP. Se você tem usuários do IE11, o CSP será ignorado silenciosamente.

FAQ

{
  "csp-report": {
    "document-uri": "https://docs.yourcompany.com/article",
    "violated-directive": "script-src 'self'",
    "blocked-uri": "https://cdn.example.com/widget.js",
    "original-policy": "default-src 'self'; script-src 'self'"
  }
}