[{"data":1,"prerenderedAt":152},["ShallowReactive",2],{"publication:ru:P155":3},{"meta":4,"copy":16,"relatedArticles":138,"terms":139,"term":140,"resourceParent":146,"glossaryParent":149},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":15},"P155","\u002Fglossary\u002Fcsp","term","что такое CSP","Что такое CSP: политика браузера, отчеты и проверка работы","Что такое CSP: политика, отчеты и ограничения","Как Content Security Policy ограничивает ресурсы, чем отчетный режим отличается от блокировки и что проверить в формах, оплате и интеграциях.",[13,14],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fcloudflare","2026-10-31",{"intro":17,"sections":18,"checklistTitle":93,"checklist":94,"faq":101,"sources":111,"links":113,"cta":133},"CSP, или Content Security Policy, - политика, с помощью которой сайт задает браузеру ограничения для определенных ресурсов и действий. Ее нужно читать вместе с режимом и фактическим ответом страницы. Отчетный режим помогает собирать нарушения, но не блокирует их; наличие заголовка не доказывает исправление причины XSS.",[19,29,37,73,79,88],{"title":20,"paragraphs":21,"sources":25},"Что контролирует политика браузера",[22,23,24],"Сайт использует сценарии, стили, изображения, формы и внешние сервисы. CSP позволяет описывать ограничения через директивы, соответствующие этим задачам. Для владельца бизнеса полезно связать правило с функцией, а не стремиться получить как можно более строгую строку без понимания зависимостей.","MDN рассматривает CSP как механизм управления загрузкой ресурсов и рядом браузерных действий. Политика работает в своем контексте. Она не заменяет серверную авторизацию, безопасную обработку данных или контроль исходящих запросов приложения.","Первый шаг - инвентарь нужных ресурсов и владельцев. Уточните, откуда загружаются формы, оплата, аналитика и интеграции. Нельзя осмысленно оценить блокировку, если неизвестно, какую законную работу она может остановить.",[26],{"label":27,"url":28},"MDN: Content Security Policy, отчетность и применение","https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCSP",{"title":30,"paragraphs":31,"sources":35},"Отчетный режим и применение ограничений",[32,33,34],"MDN отдельно описывает Content-Security-Policy-Report-Only: нарушения могут отправляться в отчет, но политика этого режима не применяется как блокировка. Если одновременно есть применяемая политика, ее нужно оценивать отдельно от отчетной.","Не объявляйте сайт защищенным от любого выполнения кода по факту появления отчета или самого заголовка. Важно, какая политика получена браузером на конкретном ответе и какие ограничения она реально задает. Дублирующие уровни настройки также требуют понимания.","Перед применением определите ожидаемые законные сценарии и допустимые исключения. Отчет помогает искать зависимости, но отсутствие сообщения не является доказательством полного охвата. Учитывайте контекст браузера и фактически выполненные действия.",[36],{"label":27,"url":28},{"title":38,"paragraphs":39,"table":42},"Регистр ресурса, режима и приемки",[40,41],"Регистр CyberFixCrew помогает связать политику с владельцем функции. Он полезен при передаче задачи между разработчиком, администратором и поставщиком внешнего сервиса. Для каждого исключения укажите необходимость и условие пересмотра.","Не добавляйте широкое разрешение только ради исчезновения ошибки без разбора причины. Но и не оставляйте рабочую оплату сломанной ради красивого результата проверки. Нужны согласованное решение, область и проверка ожидаемого поведения.",{"caption":43,"headers":44,"rows":48},"Как оценивать CSP для рабочего сайта",[45,46,47],"Область","Что записать","Как проверить",[49,53,57,61,65,69],[50,51,52],"Ресурс","Функция и ожидаемый источник","Нужная загрузка работает",[54,55,56],"Режим","Отчетный или применяемый","Ожидание совпадает с поведением",[58,59,60],"Ответ","Где формируется политика","Браузер получает нужное значение",[62,63,64],"Исключение","Владелец и необходимость","Нет необъясненного расширения",[66,67,68],"Отчет","Состав, доступ и приемник","Данные обрабатываются согласованно",[70,71,72],"Приемка","Форма, вход, оплата, интеграция","Сценарий и ограничения записаны",{"title":74,"paragraphs":75},"CSP не исправляет причину небезопасного вывода",[76,77,78],"Если приложение небезопасно помещает данные в исполняемый контекст, нужна работа над самой обработкой. CSP может быть дополнительной мерой, но не превращает любое содержимое в безопасное. Разделяйте исправление причины и проверку браузерной политики.","Также не считайте CSP эквивалентом WAF или аутентификации. У каждого механизма своя граница. Для выбранной проблемы нужно понимать, какой слой отвечает за функцию и какое доказательство подтверждает результат именно на нем.","Скопированная политика другого сайта может не подходить вашим зависимостям. Разработайте и проверьте решение для реальной установки, учитывая способы загрузки и существующие настройки. Изменение проходит через согласованный выпуск и возможность возврата.",{"title":80,"paragraphs":81,"example":85},"Отчеты, чувствительные сведения и рабочие сценарии",[82,83,84],"Определите, куда поступают отчеты и кто имеет доступ. Они могут содержать сведения об адресах и контексте страницы; состав зависит от механизма и настройки. Перед передачей внешнему сервису согласуйте необходимый объем и обработку данных.","Условный сайт готовит новую политику для формы с внешней интеграцией. В отчетном режиме выясняется зависимость, затем владелец уточняет, нужна ли она, и согласует правило. После выпуска проверяют само обращение, а не только отсутствие записи о нарушении.","Зафиксируйте проверенные сценарии, контексты и оставшиеся вопросы. Успешное открытие главной страницы не заменяет проверку отправки формы, входа или заказа. При изменении внешнего сервиса политика может потребовать пересмотра.",{"title":86,"text":87},"Условная запись выпуска","Разрешенная интеграция формы подтверждена владельцем; после применения политики проверено согласованное поведение. Другие сценарии перечисляются отдельно. Пример не является изменением CSP или проведенной проверкой клиента.",{"title":89,"paragraphs":90},"Как обсудить CSP для вашего сайта",[91,92],"Укажите критичные функции, внешние зависимости и известные симптомы без секретов и клиентских архивов. Согласуйте, кто управляет приложением, сервером и CDN. Это помогает найти фактическое место формирования политики и выбрать область приемки.","CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры для русскоязычных бизнесов по всему миру. Применяем израильские знания в области кибербезопасности к браузерным ограничениям, приложениям и интеграциям. Согласуем техническую область и проверяемый рабочий результат.","Перед применением CSP",[95,96,97,98,99,100],"Нужные ресурсы и владельцы перечислены.","Режим отчетности отделен от применения.","Понятно, где формируется фактический ответ.","Исключения имеют основание и пересмотр.","Отчеты и доступ к ним согласованы.","Критичные функции проверяются после изменения.",[102,105,108],{"question":103,"answer":104},"Report-Only уже блокирует опасный ресурс?","Нет, этот режим предназначен для наблюдения и отправки сообщений о нарушениях. Если есть отдельная применяемая политика, ее ограничения рассматривают отдельно. Проверяйте фактический ответ и поведение, а не только наличие слова CSP в настройках.",{"question":106,"answer":107},"Строгая CSP позволяет не исправлять XSS?","Нет, причина небезопасного вывода требует собственной работы. Политика может дополнять защиту в браузере, но не заменяет безопасную обработку, авторизацию и другие слои. Для закрытия задачи нужны понятная область изменения и приемка соответствующего маршрута.",{"question":109,"answer":110},"Можно взять готовый заголовок с другого сайта?","Чужая политика не знает ваши ресурсы, способы загрузки и рабочие зависимости. Она может сломать нужную функцию или оставить лишние разрешения. Начните с инвентаря, владельцев и проверки в согласованной среде, затем зафиксируйте результат и исключения.",[112],{"label":27,"url":28},[114,117,120,123,126,128,130],{"path":115,"label":116},"\u002Fglossary\u002Fxss","Причина и обработка XSS",{"path":118,"label":119},"\u002Fblog\u002Fsecurity-headers-explained","Назначение заголовков безопасности",{"path":121,"label":122},"\u002Fblog\u002Fhttp-security-score-limits","Ограничения общего балла проверки",{"path":124,"label":125},"\u002Fglossary\u002Fssrf","Серверные запросы и другая граница",{"path":13,"label":127},"Проверка безопасности сайта",{"path":14,"label":129},"Настройки защиты через Cloudflare",{"path":131,"label":132},"\u002Fblog\u002Fthird-party-script-data-flow","Сторонний код и маршруты данных",{"title":134,"description":135,"button":136,"type":137},"Свяжем политику с рабочими функциями сайта","Опишите зависимости и симптом без секретов. Согласуем режим, область изменения и приемку.","Обсудить CSP сайта","check",[],[],{"name":141,"aliases":142},"Политика безопасности содержимого (CSP)",[143,144,145],"Content Security Policy","цсп","политика безопасности содержимого",{"path":147,"label":148},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":150,"label":151},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134064259]