Uw CSP aanpassen
Mogelijk moet u uw Content Security Policy (CSP)-instellingen aanpassen zodat het cside script correct kan functioneren.
Leer hoe u Content Security Policy-rapportage configureert met het rapportage-endpoint van cside. CSP-rapportage is beschikbaar voor alle cside-abonnementsniveaus.
Servicelimieten
| Plan | Bewaartermijn | Evenementcapaciteit |
|---|---|---|
| Free | 30 dagen | 500.000 evenementen |
| Business | 90 dagen | 2.000.000 evenementen |
| Enterprise | 90 dagen in dashboard, 365 dagen koude opslag | Onbeperkt |
Implementatiehandleiding
Stap 1: CSP-headers configureren
Content Security Policy gebruikt richtlijnen om het laden en uitvoeren van bronnen te beheren. Voor een uitgebreide lijst van beschikbare richtlijnen, raadpleeg de Mozilla Developer Documentatie.
Implementatiemodi
CSP ondersteunt twee operationele modi:
- Alleen-rapportagemodus: Monitort overtredingen zonder handhaving
- Handhavingsmodus: Blokkeert actief beleidsschendingen
Beste praktijk: Implementeer CSP via HTTP-responsheaders in plaats van HTML-metatags voor verbeterde beveiliging.
Implementatieaanbevelingen
- Begin met de Alleen-rapportagemodus voor impactbeoordeling
- Implementeer eerst essentiele richtlijnen:
script-src: Beheer JavaScript-bronherkomstenimage-src: Beheer bronnen voor het laden van afbeeldingenfont-src: Beperk bronnen voor het laden van lettertypen
- Gebruik
script-src 'self'als basisbeveiligingsmaatregel
Opmerking: Geautomatiseerd CSP-configuratietoolling staat gepland voor release in Q3 2025.
Stap 2: Rapportage-endpoint configureren
Elke cside-klant kan een klantendpoint ontvangen. Navigeer daarom naar de sectie CSP-rapporten van het dashboard om het CSP-rapportage-endpoint te bekijken dat aan uw account is toegewezen.
Beste praktijken en overwegingen
cside-compatibiliteit
Wanneer CSP-wijzigingen niet nodig zijn
In de meeste gevallen zijn geen CSP-aanpassingen nodig om het cside monitoringscript te laten werken. Als uw Content Security Policy brede richtlijnen gebruikt die HTTPS-bronnen toestaan, werkt cside direct uit de doos.
Als uw CSP er bijvoorbeeld zo uitziet:
Content-Security-Policy: default-src https: data: 'unsafe-inline' 'unsafe-eval'Het cside script laadt zonder problemen omdat het via HTTPS wordt geserveerd vanaf proxy.csidetm.com. Een CSP die scripts van elke HTTPS-bron toestaat, laat cside automatisch toe.
Wanneer CSP-wijzigingen wel nodig zijn
U hoeft uw CSP alleen bij te werken als u expliciete script-src of connect-src richtlijnen heeft die beperken welke domeinen scripts mogen laden of netwerkverzoeken mogen doen.
Als uw CSP specifieke script-src of connect-src richtlijnen bevat, voeg dan proxy.csidetm.com toe aan die richtlijnen:
Content-Security-Policy: script-src 'self' proxy.csidetm.com; connect-src 'self' proxy.csidetm.comU hoeft alleen richtlijnen bij te werken die u al gebruikt. Als u geen script-src of connect-src in uw CSP heeft, zijn er geen wijzigingen nodig voor die richtlijnen.
Voeg deze toe aan uw bestaande CSP-instellingen zonder uw huidige beleid te verwijderen. Als onderdeel van uw cside-plan kunt u ook CSP-overtredingen naar ons dashboard sturen voor monitoring.
Omgevingsbeheer
CSP-implementatie verschilt vaak tussen ontwikkel- en productieomgevingen. Houd consistente CSP-configuraties aan in alle omgevingen om implementatieproblemen en beveiligingslekken te voorkomen.
Beleidsontwerpstrategie
Balanceer uw CSP-implementatie tussen:
- Strikt beleid: Verbeterde beveiliging door specifieke regels, maar vereist meer onderhoud
- Soepel beleid: Eenvoudiger onderhoud maar kan beveiligingskwetsbaarheden introduceren
De monitoringmogelijkheden van cside stellen u in staat bredere regels te implementeren met behoud van beveiliging door uitgebreide overtredingsrapportage en -analyse.
Bekende uitdagingen
De connect-src richtlijn vereist zorgvuldige overweging vanwege dynamische client-side afhankelijkheden. Bij het implementeren van deze richtlijn…