Avatar for Username

Przeszukaj pomoc

Unikaj oszustw związanych z pomocą.Nigdy nie będziemy prosić Cię o dzwonienie na numer telefonu, wysyłanie SMS-ów ani o udostępnianie danych osobowych. Zgłoś podejrzaną aktywność, korzystając z opcji „Zgłoś nadużycie”.

Więcej informacji

Firefox e o CSP - Content-Security-Header

  • 1 odpowiedź
  • 0 osób ma ten problem
  • 2 wyświetlenia
  • Ostatnia odpowiedź od Jeff123

Jeff123
Jeff123
more options

Olá,

Há pouco tempo passei a usar as 'Security Headers' configuradas no .htaccess. Só houve um problema com a CSP - Content-Security-Policy, pois o Firefox desconfigura o site, que tem um Iframe. Os outros Browsers mais conhecidos navegam bem.

Já desabilitei todas as extensões e temas desses navegadores.

Estou usando a CSP dessa forma: Header set Content-Security-Policy "default-src 'self'; script-src 'self'; img-src 'self'; style-src 'self';base-uri 'self'; form-action 'self'"

Já tirei um por um até ficar assim: Header set Content-Security-Policy "default-src 'self'"

Mas o problema continua no Firefox. Alguma sugestão?

Apenas como informação:

Aparência do site normal, usando o Firefox (sem o CSP):

Aparência do site desconfigurado, usando o Firefox (com o CSP):

Olá, Há pouco tempo passei a usar as 'Security Headers' configuradas no .htaccess. Só houve um problema com a CSP - Content-Security-Policy, pois o Firefox desconfigura o site, que tem um Iframe. Os outros Browsers mais conhecidos navegam bem. Já desabilitei todas as extensões e temas desses navegadores. Estou usando a CSP dessa forma: Header set Content-Security-Policy "default-src 'self'; script-src 'self'; img-src 'self'; style-src 'self';base-uri 'self'; form-action 'self'" Já tirei um por um até ficar assim: Header set Content-Security-Policy "default-src 'self'" Mas o problema continua no Firefox. Alguma sugestão? Apenas como informação: Aparência do site normal, usando o Firefox (sem o CSP): Aparência do site desconfigurado, usando o Firefox (com o CSP):
Załączone zrzuty ekranu

Wszystkie odpowiedzi (2)

Jeff123
Jeff123 Zadający pytanie
more options

Não vi um link para editar a Pergunta inicial. O título correto é : Firefox e o CSP - Content-Security-Policy

Zmodyfikowany przez Jeff123 w dniu

Pomocne?

Jeff123
Jeff123 Zadający pytanie
more options

Depois de muito pesquisar, achei no site: https://www.limesurvey.org/manual/Installation_security_hints a solução para que o Firefox aceitasse uma política de Segurança Content-Security-Policy para sites que usam Iframes.

Muitos falam que  'unsafe-inline'  é perigoso. No entanto pesquisei e vi que o valor 'unsafe-inline' pode ser utilizado nas diretivas script-src e style-src, para permitir a inclusão de códigos CSS e JavaScript inline, ou seja, códigos que não estão em arquivos separados da página, mas sim declarados juntamente com o código HTML. E nesses casos, deve-se inserir os conteúdos "nonce" ou "hashe", conforme explica o site : https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src

Bom, pelo menos, o código abaixo foi o único que funcionou para o meu iframe:

<IfModule mod_headers.c> Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; base-uri 'none'; form-action 'self'; frame-ancestors 'self'; upgrade-insecure-requests" "expr=%{CONTENT_TYPE} =~ m#text\/(html|javascript )|application\/pdf|xml#i" </IfModule>

Zmodyfikowany przez Jeff123 w dniu

Pomocne?

Zadaj pytanie

Aby odpowiadać na posty, musisz zalogować się na swoje konto. Zadaj pytanie, jeśli nie masz jeszcze konta.