Mi az a Content Security Policy (CSP)? Biztonsági Fejlécek a Gyakorlatban
A Content Security Policy (CSP) az egyik legerősebb HTTP biztonsági fejléc az XSS támadások, adatlopások és kártékony scriptek ellen. Beállítási útmutató és szabályok.
Mi az a Content Security Policy (CSP), és miért elengedhetetlen 2026-ban?
A Content Security Policy (CSP) egy olyan HTTP válaszfejléc (Response Header), amellyel a webszerver pontosan megmondja a látogató böngészőjének, hogy mely megbízható forrásokból (domainekről) engedélyezett JavaScript scriptek, stíluslapok, betűtípusok, képek és beágyazott elemek betöltése és futtatása. Ha egy támadó kártékony kódot próbálna beszúrni (Cross-Site Scripting - XSS) vagy a weboldalt egy láthatatlan iframe-be ágyazva próbálná átverni a felhasználókat (Clickjacking), a böngésző a CSP szabályok alapján azonnal blokkolja a kísérletet.
- XSS (Cross-Site Scripting) támadások 99%-ának azonnali kivédése.
- Illetéktelen adatgyűjtő és adathalász scriptek futásának megakadályozása.
- Kattintás-eltérítés (Clickjacking) és beágyazás blokkolása a `frame-ancestors` direktívával.
- Google és biztonsági auditok (Mozilla Observatory, SecurityHeaders) maximális A+ pontszámának elérése.
A legfontosabb CSP direktívák és jelentésük
Egy professzionális CSP szabályrendszer az alábbi építőelemekből áll:
- `default-src 'self'`: Alapértelmezett szabály, amely szerint minden erőforrás kizárólag a saját domainről tölthető be.
- `script-src`: Meghatározza az engedélyezett JavaScript forrásokat (pl. saját domain, Google Analytics, GTM).
- `style-src`: Az engedélyezett CSS stíluslapok listája (pl. Google Fonts CSS).
- `img-src`: A képek engedélyezett forrásai (pl. saját domain, `data:` URI-k, megbízható CDN-ek).
- `font-src`: A betűtípusok letöltési forrásai (pl. `fonts.gstatic.com`).
- `connect-src`: Korlátozza azokat a szervereket, amelyek felé a JavaScript `fetch()` vagy `XMLHttpRequest` hívást indíthat (analitikai végpontok).
- `frame-ancestors 'self'`: Megtiltja más weboldalaknak, hogy a te oldaladat iframe-be ágyazzák.
- `object-src 'none'`: Teljesen letiltja az elavult és biztonsági kockázatot jelentő Flash és Java plugineket.
- `base-uri 'self'`: Megakadályozza a `<base>` címke injektálásos eltérítését.
További elengedhetetlen HTTP biztonsági fejlécek
A CSP mellett a modern webszervereknek az alábbi fejléceket is küldeniük kell:
- HSTS (Strict-Transport-Security): Kikényszeríti a kizárólagos HTTPS kapcsolatot (`max-age=63072000; includeSubDomains; preload`).
- X-Content-Type-Options: `nosniff` (Megakadályozza, hogy a böngésző a deklarált MIME típustól eltérően értelmezze a fájlokat).
- Referrer-Policy: `strict-origin-when-cross-origin` (Védi a látogatók magánszféráját a külső linkekre kattintáskor).
- Permissions-Policy: Letiltja a szükségtelen böngészőfunkciók (kamera, mikrofon, geolokáció) engedélykéréseit.
Nem vagy biztos benne, hogyan állítsd be a weboldaladon?
Minden weboldal és tartalomkezelő (WordPress, Webflow, Shopify vagy egyedi fejlesztés) más technikai felépítéssel működik. Ne pazarold az idődet a kockázatos kísérletezésre! Két debreceni egyetemistaként alaposan átvilágítjuk a teljes weboldaladat, feltárjuk az összes rejtett technikai, sebességi és SEO akadályt, és pontos, személyre szabott feladatlistát készítünk a javításhoz.