مقدمه
در دنیای امروز که حملات سایبری با سرعت و پیچیدگی بالایی رشد می‌کنند، امنیت وب‌سایت‌ها اهمیت ویژه‌ای پیدا کرده است. یکی از رایج‌ترین و خطرناک‌ترین تهدیدها برای اپلیکیشن‌های تحت وب، حملات XSS (Cross-site Scripting) است.
برای مقابله با این تهدید، مکانیزم‌های امنیتی مختلفی ارائه شده‌اند و یکی از قدرتمندترین آن‌ها Content Security Policy یا به اختصار CSP است.
CSP به عنوان یک لایه‌ی دفاعی قوی، به توسعه‌دهندگان این امکان را می‌دهد که به صورت دقیق مشخص کنند چه منابعی روی سایت مجاز به بارگذاری هستند و از اجرای کدهای مخرب جلوگیری کنند.
Content Security Policy چیست؟
Content Security Policy (CSP) یک استاندارد امنیتی است که توسط مرورگرها پشتیبانی می‌شود و به وب‌سایت‌ها اجازه می‌دهد تعیین کنند چه منابعی (مثل اسکریپت‌ها، استایل‌ها، تصاویر و...) قابل بارگذاری یا اجرا هستند.
CSP مانند یک لیست سفید عمل می‌کند و فقط به منابع تایید شده اجازه اجرا و بارگذاری می‌دهد.
با اعمال CSP روی وب‌سایت می‌توان:
- بارگذاری منابع از دامین‌های غیرمجاز را مسدود کرد
- اجرای اسکریپت‌های مشکوک را جلوگیری کرد
- احتمال موفقیت حملات تزریقی مثل XSS را به شدت کاهش داد
CSP چطور جلوی حملات XSS را می‌گیرد؟
حمله XSS زمانی اتفاق می‌افتد که مهاجم بتواند کد جاوااسکریپت دلخواهی را در مرورگر کاربر اجرا کند.
با پیاده‌سازی یک CSP مناسب، مرورگر فقط اجازه اجرای اسکریپت‌هایی را می‌دهد که از دامین‌های مجاز آمده‌اند یا با nonce/hash تایید شده‌اند. این یعنی:
- اسکریپت‌های تزریق شده یا ناخواسته حتی اگر در صفحه وجود داشته باشند، توسط مرورگر مسدود می‌شوند.
- تنها اسکریپت‌های معتبر و مجاز می‌توانند در صفحه اجرا شوند.
مثال:
اگر در CSP مشخص کرده باشید فقط اسکریپت‌های دامنه‌ی اصلی ('self') یا دامنه‌های خاصی مجاز هستند، اسکریپت‌های مخرب دیگر اجرا نمی‌شوند.
مزایای استفاده از CSP
- کاهش شدید حملات XSS: حتی اگر جایی از سایت ناخواسته آسیب‌پذیر باشد، CSP جلوی اجرای کد مخرب را می‌گیرد.
- کاهش ریسک حملات تزریق داده: تنها منابع معتبر می‌توانند بارگذاری شوند.
- محافظت از اعتبار سایت: جلوگیری از اجرای کدهای مخرب باعث حفظ اعتماد کاربران می‌شود.
- مانیتورینگ بهتر: با قابلیت گزارش‌دهی CSP می‌توان فعالیت‌های مشکوک را شناسایی کرد.
چالش‌ها و محدودیت‌های CSP
با اینکه CSP بسیار قدرتمند است، اجرای صحیح آن می‌تواند چالش‌هایی به همراه داشته باشد:
-
پیچیدگی تنظیم Policy: تنظیم یک CSP جامع بدون آسیب زدن به عملکرد سایت نیاز به دقت بالایی دارد. اگر تنظیمات دقیق نباشد، ممکن است بخش‌هایی از سایت به درستی لود نشوند. به عنوان مثال اگر دامنه‌ی منابعی مثل اسکریپت‌های خارجی (مثلاً نماد اعتماد الکترونیکی، Google Fonts، reCAPTCHA و...) را فراموش کنید در Policy مجاز کنید، ممکن است این اجزا به طور کامل نمایش داده نشوند.
-
مشکلات با منابع شخص ثالث: بسیاری از سرویس‌های شخص ثالث نیاز به دسترسی خاص دارند. هنگام ست کردن CSP باید حتماً دامنه‌های آن‌ها به‌صورت صریح در بخش‌هایی مانند
script-src,img-src,style-srcاضافه شوند. -
نیاز به نگهداری مداوم: با تغییر منابع، اضافه شدن سرویس جدید یا تغییرات در صفحات سایت، باید CSP نیز آپدیت شود تا کارایی سایت حفظ شود و حفره امنیتی جدید ایجاد نشود.
نکته: CSP کاری به "درخواست‌های API بین دامنه‌ای" (CORS و Origin policy) ندارد. کار CSP فقط کنترل لود و اجرای منابع در صفحه کاربر است، نه مدیریت مجوز ارسال درخواست‌ها.
بهترین روش شروع کار با CSP
اگر تا به حال CSP روی پروژه‌ای اعمال نکرده‌اید، این مراحل کمک می‌کند شروع درستی داشته باشید:
- در ابتدا CSP را با حالت report-only فعال کنید. این حالت اجازه اجرای همه چیز را می‌دهد اما تخلفات را گزارش می‌کند.
- تمام دامنه‌هایی که واقعاً در پروژه نیاز دارید (مانند دامنه‌ی enamad، سرویس آمارگیر، Google Fonts، reCAPTCHA و...) را پیدا کنید.
- گزارش‌های تخلفات را آنالیز کنید و منابع مجاز واقعی را در Policy لحاظ کنید.
- پس از اطمینان از عملکرد درست سایت، CSP را به حالت full enforcement تغییر دهید.
- به طور منظم CSP را بازبینی و بهینه کنید، مخصوصاً زمانی که منابع جدید به پروژه اضافه می‌شود.
جمع‌بندی
CSP یکی از قوی‌ترین خط‌های دفاعی برای محافظت از وب‌سایت‌ها در برابر حملات رایج وب، به ویژه XSS، است.
(در زمان نگارش این مقاله، هیچ مکانیزم مطلقاً بی‌خطری برای ذخیره و اجرای منابع وجود ندارد؛ بنابراین پیاده‌سازی دقیق CSP یک اقدام ضروری اما نیازمند دقت است.)
با اجرای صحیح CSP:
- سطح حمله به شدت کاهش می‌یابد.
- امنیت کاربران و اطلاعات آن‌ها بهتر تضمین می‌شود.
- اعتبار برند و پروژه در مقابل تهدیدات سایبری حفظ می‌شود.
در Zerotix، توجه به اصول امنیتی مثل CSP بخشی از فرهنگ توسعه‌ی ماست — چون امنیت، پایه‌ی اعتماد و پایداری هر پروژه‌ی موفق است.