---
title: "Política de segurança de conteúdo"
slug: "content-security-policy-1"
updated: 2026-07-03T07:56:22Z
published: 2026-07-03T08:36:00Z
canonical: "docs.document360.com/content-security-policy-1"
stale: true
---

> ## Documentation Index
> Fetch the complete documentation index at: https://docs.document360.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Política de segurança de conteúdo

**Política de Segurança de Conteúdo (CSP)** é um mecanismo de segurança imposto pelo navegador que controla quais recursos externos — scripts, estilos, imagens, fontes e frames — podem carregar na Site da base de conhecimento. Quando ativado no Document360, uma diretiva CSP é incorporada na fonte da página do seu site, restringindo o carregamento de recursos apenas aos domínios que você configura explicitamente. Isso protege sua Base de Conhecimento contra vulnerabilidades comuns da web, como Cross-Site Scripting (XSS), clickjacking e ataques de injeção de dados.

---

## Quando usar a Política de Segurança de Conteúdo

Ative o CSP quando qualquer uma das seguintes condições se aplicar à sua Base de Conhecimento:

- Seu site incorpora conteúdo de terceiros, como vídeos, widgets de chat ou ferramentas de análise.
- Seus artigos ou tema incluem seções HTML personalizadas com scripts inline.

---

## Como o CSP funciona no Document360

O Document360 implementa o CSP por meio de uma `<meta http-equiv="Content-Security-Policy">` tag embutida na fonte da página do seu site, em vez de um cabeçalho de resposta HTTP.

Isso significa:

- Todas as regras do CSP são aplicadas no nível da página por meio da meta tag.
- Se você inspecionar o cabeçalho de resposta HTTP, o CSP aparecerá ausente — esse é o comportamento esperado.
- Para confirmar se o CSP está ativo, clique com o botão direito no site da sua Base de Conhecimento, selecione **Ver fonte da página** e procure por `Content-Security-Policy`.

 NOTA

Cabeçalhos de resposta HTTP requerem configuração do lado do servidor. O Document360 usa um metaelemento para que você possa configurar o CSP inteiramente pela interface de Configurações sem nenhuma alteração na infraestrutura. A proteção de segurança é equivalente para a grande maioria das diretivas, com exceção de `frame-ancestors`, que só é suportado por meio de cabeçalhos HTTP em alguns navegadores. O Document360 resolve isso automaticamente.

---

## Antes de começar

Somente **os proprietários do projeto**, **administradores** ou usuários com acesso às configurações **de Segurança** podem configurar a Política de Segurança de Conteúdo.

---

## Como ativar a Política de Segurança de Conteúdo

1. Navegue até **Configurações** () > **Site da base de conhecimento** > ****Segurança****.
2. Ative **ativar Ativar política de segurança de conteúdo**.
3. Configure os grupos diretivas necessários:
  - **Política de código**
  - **Controle de recursos**
  - **Incorporação e Segurança**
  - **Relatórios**
4. Clique **em Salvar**.

![Settings page for configuring Content Security Policy in a Document360 Knowledge Base.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/content%20security%20policy.png)

 NOTA

Quando o CSP estiver ativado, certifique-se de que o marcador de atributo nonce seja adicionado a todas as seções de scripts HTML personalizados. Exemplo:

```
<script nonce="{{Document360-Nonce}}">
```

 NOTA

- O limite de caracteres para cada campo é 5000.
- Use vírgulas (,) para separar múltiplos domínios.
- Mantenha as URLs no formato: `https://example.com`
- Configurações existentes de CSP permanecem preservadas ao desligar e ligar o CSP.

---

## Proteção X-Frame

A opção de proteção [contra X-Frame](https://docs.document360.com/help/docs/pt/x-frame-options) está disponível junto com as configurações do CSP na página de Segurança. Quando ativado, ele adiciona um `X-Frame-Options: SAMEORIGIN` cabeçalho de resposta às suas páginas da Base de Conhecimento, impedindo que sejam carregadas dentro de um iframe em qualquer domínio externo.

Esse é um controle mais simples e direto do que `frame-ancestors` — não permite que você permita domínios confiáveis específicos.

| Proteção X-Frame | Ancestrais de estrutura (CSP) |
| --- | --- |
| Bloqueia toda a estrutura externa (apenas SAMEORIGIN) | Permite especificar uma lista de domínios confiáveis |
| Entregue via cabeçalho de resposta HTTP | Entregue via metaelemento na fonte da página |
| Mais simples de configurar — um único interruptor | Mais flexível — controle preciso por domínio |
| Sem exceções permitidas | Exceções podem ser listadas explicitamente |

 NOTA

- `X-Frame-Options` e a `frame-ancestors` diretiva CSP governam ambos o comportamento de incorporação de quadros. Se você configurar ambos, certifique-se de que sejam consistentes para evitar regras conflitantes. Por exemplo, não ative a Proteção X-Frame enquanto também adiciona um domínio externo — `frame-ancestors` o cabeçalho X-Frame irá sobrescrever a diretiva CSP em navegadores que suportam ambos.
- O Document360 também aplica o `X-Content-Type-Options: nosniff` cabeçalho de segurança em todos os recursos da Base de Conhecimento para ajudar a evitar que navegadores façam sniffing e interpretem arquivos com tipos de conteúdo incorretos.

---

## Casos de uso

**Vídeos incorporados**

Se seus artigos incluírem vídeos do YouTube ou Vimeo, use a diretiva de fonte Frame para permitir apenas esses domínios confiáveis.

- Adicionar à fonte do quadro: `https://www.youtube.com`, `https://player.vimeo.com`
- Isso garante que a mídia embutida carregue corretamente enquanto bloqueia conteúdo iframe não autorizado.

**Ferramentas de análise e feedback de terceiros**

Se sua Base de Conhecimento usa Google Analytics, Mixpanel ou um widget de feedback, adicione os domínios de script e coleta de dados deles à fonte do Script e à fonte do Connect.

- Exemplo da fonte do script: `https://www.google-analytics.com`, `https://cdn.mixpanel.com`
- Conectar exemplo de fonte: `https://api.mixpanel.com`

**Widgets de chat ao vivo**

Widgets de chat como Intercom ou Zendesk normalmente precisam de permissões entre múltiplas diretivas porque carregam scripts, fazem chamadas de API e servem sua própria interface.

- Fonte do roteiro: `https://widget.intercom.io`, `https://js.intercomcdn.com`
- Conectar fonte: `https://api.intercom.io`, `https://nexus-websocket-a.intercom.io`
- Fonte da imagem: `https://static.intercomassets.com`

**Fontes personalizadas**

Google Fonts e Adobe Typekit carregam de dois domínios diferentes — um para a folha de estilos e outro para os arquivos de fonte reais. Ambos devem estar listados.

- Fonte do estilo: `https://fonts.googleapis.com`
- Fonte da fonte: `https://fonts.gstatic.com`

**Incorporando sua Base de Conhecimento em um portal de clientes**

Se você precisar exibir sua Base de Conhecimento dentro de um iframe dentro do seu próprio produto ou aplicação SaaS, use a diretiva Frame ancestors para permitir esse domínio específico.

- Exemplo de ancestrais frame: `https://app.yourcompany.com`
- Configurar ancestrais de Frame para `'none'` bloquear toda a estrutura externa. Só mude isso se você tiver um requisito legítimo de embedding.

**HTML personalizado e scripts inline**

Se seus artigos ou tema incluírem seções HTML personalizadas com tags inline `&lt;script&gt;` , esses scripts serão bloqueados por um CSP rigoroso, a menos que carreguem um atributo nonce. Use o marcador de posição Document360:

```
<script nonce="{{Document360-Nonce}}">

  // Your custom inline script

</script>
```

O `{{Document360-Nonce}}` marcador de posição é substituído no momento de renderização por um valor único por requisição que corresponde ao nonce listado no CSP. Isso permite que o script inline confiável rode sem precisar enfraquecer sua política com `'unsafe-inline'`.

**Ambientes reforçados em conformidade e segurança**

Equipes operando sob estruturas como SOC 2, ISO 27001 ou HIPAA frequentemente exigem uma política documentada de carregamento de recursos. O CSP fornece uma versão imposta por máquina dessa política. As diretrizes de relatórios também fornecem um rastreio de auditoria de qualquer tentativa de violação da política.

---

## FAQ

**Por que minha ferramenta de validação de CSP diz que o CSP está ausente no cabeçalho da resposta?**

O Document360 implementa o CSP por meio de um metaelemento na fonte da página, não via um cabeçalho de resposta HTTP. Ferramentas que apenas verificam cabeçalhos de resposta reportarão o CSP como ausente. Para confirmar se o CSP está ativado, clique com o botão direito no site da sua Base de Conhecimento, selecione **Ver fonte da página** e procure por "Conteúdo-Segurança-Política". Se o termo aparecer, o CSP está ativo.

**Posso permitir que domínios específicos incorporem minha Base de Conhecimento?**

Sim. Use a diretiva **dos ancestrais do Frame** no grupo Embedding & Security para especificar quais domínios externos podem incorporar suas páginas da Base de Conhecimento em seus próprios frames.

**O que acontece se eu desativar o CSP depois de configurá-lo anteriormente?**

Desativar a **opção de controle da política de segurança de conteúdo** remove a aplicação do CSP do seu site da Base de Conhecimento. No entanto, suas configurações de diretiva salva são mantidas e serão reaplicadas se você reativar o CSP. Nenhum dado de configuração é perdido ao desativar o recurso.