CSP (Content Security Policy) Kurulumu

Content Security Policy (CSP), web uygulamalarında güvenliği artırmak için kullanılan güçlü bir güvenlik mekanizmasıdır. CSP, sayfanızda hangi kaynakların yüklenip çalıştırılacağını belirleyerek, kötü niyetli saldırıları (örneğin XSS - Cross-Site Scripting) önlemeye yardımcı olur. Bu makalede, CSP’nin nasıl kurulacağı ve yapılandırılacağı hakkında bilgi vereceğim.

CSP’yi uygulamak için öncelikle HTTP başlıkları veya HTML meta etiketleri aracılığıyla yapılandırabilirsiniz. En yaygın yöntem, HTTP başlığı kullanmaktır. Aşağıda, CSP başlığını nasıl ekleyeceğinizi gösteren bir örnek verilmiştir:



Bu örnekte:

• default-src 'self': Varsayılan olarak, yalnızca aynı kaynaktan gelen kaynakların yüklenmesine izin verilir.
  
• img-src 'self' data:: Görüntü yüklemeleri için yalnızca aynı kaynaktan ve veri URL'lerinden yüklemeye izin verilir.
  
• script-src 'self' https://trustedscripts.example.com: Script’lerin yalnızca kendi alanından ve belirtilen güvenilir alan adından yüklenmesine izin verilir.
  
• style-src 'self' https://trustedstyles.example.com: Stil dosyalarının yalnızca kendi alanından ve belirtilen güvenilir alan adından yüklenmesine izin verilir.

CSP kurulumunu yaparken dikkat etmeniz gereken bazı noktalar bulunmaktadır:

1. Test Edin: CSP’yi uyguladıktan sonra, sayfanızın tüm işlevlerinin çalıştığından emin olun. Gerekirse, tarayıcı konsolunda CSP hatalarını kontrol edin.
   
2. Raporlama: CSP’nin etkilerini izlemek için bir raporlama URL'si belirleyebilirsiniz. Bu, CSP ihlallerini takip etmenize yardımcı olur.
   
3. Aşamalı Uygulama: İlk başta CSP’yi "Report-Only" modunda uygulamak, hataları tespit etmek için iyi bir yöntemdir. Bu mod, politikayı uygulamadan önce test etmenizi sağlar.

CSP, web uygulamanızın güvenliğini artırmak için güçlü bir araçtır. Doğru bir şekilde yapılandırıldığında, saldırı yüzeyinizi önemli ölçüde azaltabilir.