Content-Security-Policy בלי לשבור את האתר

1. התחילו במצב דיווח בלבד

הדפדפן מדווח על הפרות בקונסול אבל לא חוסם שום דבר.

add_header Content-Security-Policy-Report-Only "default-src 'self'; img-src 'self' data: https:; script-src 'self'; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; object-src 'none'; base-uri 'self'" always;

2. גלשו באתר וקראו את הקונסול

פתחו DevTools ← Console בדפים המרכזיים (דף הבית, מוצר, עגלה וקופה, טופס יצירת קשר). כל מקור שנחסם מופיע שם. הוסיפו את המקורות שאתם סומכים עליהם, כמו https://www.googletagmanager.com או ספק התשלומים שלכם, להנחיה המתאימה.

3. אכפו

כשהקונסול שקט, שנו את שם הכותרת ל-Content-Security-Policy. השאירו לצידה את כותרת הדיווח בלבד בזמן שאתם בודקים גרסה נוקשה יותר.

Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self' https://www.googletagmanager.com; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; object-src 'none'; base-uri 'self'"

טיפים לוורדפרס

• תבניות ותוספים רבים משתמשים בסקריפטים מוטמעים. בהתחלה ייתכן שתצטרכו 'unsafe-inline' ב-script-src. זה חלש יותר, אבל frame-ancestors, ‏object-src ו-base-uri עדיין עוזרים.
• למדיניות נוקשה, השתמשו ב-nonce: וורדפרס 5.7 ומעלה יכולה להוסיף מאפיינים לסקריפטים שמודפסים עם wp_print_inline_script_tag().
• החילו CSP נוקשה קודם על הקופה, שם הוא הכי חשוב.

הנחיות שימושיות

• frame-ancestors 'self': התחליף המודרני ל-X-Frame-Options.
• upgrade-insecure-requests: משדרגת אוטומטית משאבי http:// ל-https://.
• connect-src: מגבילה לאן סקריפטים יכולים לשלוח נתונים, מה שעוזר נגד סקימרים.