Ajustar tu CSP

Aprende como configurar los informes de Politica de Seguridad de Contenido con el endpoint de informes de cside. Los informes CSP estan disponibles en todos los niveles de suscripcion de cside.

Limites del servicio

Plan	Periodo de retencion	Capacidad de eventos
Free	30 dias	500,000 eventos
Business	90 dias	2,000,000 eventos
Enterprise	90 dias en el panel, 365 en almacenamiento en frio	Eventos ilimitados

Guia de implementacion

Paso 1: Configurar las cabeceras CSP

La Politica de Seguridad de Contenido utiliza directivas para controlar la carga y ejecucion de recursos. Para una lista completa de directivas disponibles, consulta la documentacion de Mozilla Developer.

Modos de implementacion

CSP soporta dos modos operacionales:

• Modo solo informes: Monitorea violaciones sin aplicarlas
• Modo de aplicacion: Bloquea activamente las violaciones de politica

Mejor practica: Implementa CSP a traves de cabeceras de respuesta HTTP en lugar de etiquetas meta HTML para mayor seguridad.

Recomendaciones de implementacion

1. Comienza con el modo solo informes para evaluar el impacto
2. Implementa primero las directivas esenciales:
   • script-src: Controla los origenes de JavaScript
   • image-src: Gestiona las fuentes de carga de imagenes
   • font-src: Restringe las fuentes de carga de tipografias
3. Usa script-src 'self' como medida de seguridad base

Nota: Las herramientas de configuracion automatica de CSP estan programadas para su lanzamiento en el tercer trimestre de 2025.

Paso 2: Configurar el endpoint de informes

Cada cliente de cside puede recibir un endpoint personalizado, asi que navega a la seccion de informes CSP del panel para ver el endpoint de informes CSP asignado a tu cuenta.

Mejores practicas y consideraciones

Compatibilidad con cside

Cuando NO se requieren cambios en CSP

En la mayoria de los casos, no se necesitan ajustes de CSP para que el script de monitoreo de cside funcione. Si tu Politica de Seguridad de Contenido usa directivas amplias que permiten fuentes HTTPS, cside funcionara sin cambios.

Por ejemplo, si tu CSP se ve asi:

Content-Security-Policy: default-src https: data: 'unsafe-inline' 'unsafe-eval'

El script de cside se cargara sin problemas porque se sirve a traves de HTTPS desde proxy.csidetm.com. Una CSP que permita scripts de cualquier origen HTTPS permitira automaticamente cside.

Cuando SI se requieren cambios en CSP

Solo necesitas actualizar tu CSP si tienes directivas explicitas de script-src o connect-src que restringen que dominios pueden cargar scripts o hacer solicitudes de red.

Si tu CSP incluye directivas especificas de script-src o connect-src, agrega proxy.csidetm.com a esas directivas:

Content-Security-Policy: script-src 'self' proxy.csidetm.com; connect-src 'self' proxy.csidetm.com

Solo necesitas actualizar las directivas que ya usas. Si no tienes script-src o connect-src en tu CSP, no se necesitan cambios para esas directivas.

Agrega estos a tu configuracion CSP existente sin eliminar tus politicas actuales. Como parte de tu plan de cside, tambien puedes dirigir las violaciones de CSP a nuestro panel para monitoreo.

Gestion de entornos

La implementacion de CSP a menudo varia entre los entornos de desarrollo y produccion. Manten configuraciones CSP consistentes en todos los entornos para prevenir problemas de despliegue y brechas de seguridad.

Estrategia de diseno de politicas

Equilibra tu implementacion de CSP entre:

• Politicas estrictas: Mayor seguridad a traves de reglas especificas, pero requiere mas mantenimiento
• Politicas permisivas: Mantenimiento mas facil pero puede introducir vulnerabilidades de seguridad

Las capacidades de monitoreo de cside te permiten implementar reglas mas amplias mientras mantienes la seguridad a traves de informes y analisis exhaustivos de violaciones.

Desafios conocidos

La directiva connect-src requiere una consideracion cuidadosa debido a las dependencias dinamicas del lado del cliente. Al implementar esta directiva…