La seguridad es importante. Esto es especialmente cierto ahora, con nuestro mundo cada vez más digitalizado. La seguridad en este contexto va ahora más allá de la defensa física contra diferentes tipos de ataques.
También incluye la protección de datos en Internet y la creación de una defensa contra códigos maliciosos u otros ataques de inyección de códigos.
Este artículo se centra en una medida de seguridad, la política de seguridad de contenidos.
La política de seguridad de contenido está diseñada principalmente para el lado cliente de las aplicaciones web. La medida de seguridad ofrece una protección significativa para los navegadores modernos contra contenido malicioso.
Continúe leyendo para obtener más información sobre esta característica de seguridad y cómo configurarla.
¿Qué es la política de seguridad del contenido del sitio web?
Una política de seguridad de contenido (CSP) es un estándar de seguridad. Ofrece seguridad a sitios web y aplicaciones contra diversos ataques, como secuencias de comandos entre sitios (XSS). CSP es un encabezado de respuesta HTTP que mejora la seguridad de paginas web en los principales navegadores modernos.
El encabezado de la política de seguridad de contenido funciona restringiendo las fuentes de contenido (como scripts e imágenes) que una página web puede cargar y desde las que se puede cargar.
Si implementas el encabezado de respuesta HTTP de la política de seguridad de contenido en un navegador que no lo admite, este lo ignorará. Además, aplicará por defecto la política del mismo origen (otra forma de protección contra código malicioso). Sin embargo, el navegador aún puede funcionar con un servidor que admita CSP y viceversa.
Tenga en cuenta que CSP es una capa adicional de seguridad contra diferentes tipos de vulnerabilidades. La palabra clave aquí es "adicional". En otras palabras, aún debes proteger tu página web utilizando otras medidas de seguridad.
También cabe mencionar que la CSP no impide que tu página web sea atacada. Detecta eficazmente estos ataques y reduce significativamente el riesgo de explotación.
Importancia de la política de seguridad del contenido del sitio web
Implementar la política de seguridad de contenido (CSP) te ayuda a controlar las fuentes de contenido que tu sitio puede cargar. La implementación de CSP se puede utilizar en cualquier sitio web, ya sea un sitio de comercio electrónico o un blog.
Ayuda a:
Mitigar los ataques XSS
Ya mencionamos que CSP podría ayudar a mitigar los ataques XSS. Pero, ¿qué son exactamente y cómo puede ayudar la CSP?
XSS es una vulnerabilidad que permite a los atacantes enviar código malicioso a páginas web. La vulnerabilidad XSS en su sitio web abre las puertas a ataques como el robo de datos y la destrucción del sitio. Casi el 65% de los sitios web están expuestos a vulnerabilidades XSS.
CSP protege contra ataques XSS restringiendo los scripts en línea. También evita que su página web cargue scripts remotos, es decir, scripts de servidores arbitrarios.
CSP también protege su sitio web de ataques XSS controlando el envío de formularios HTML. Por lo tanto, incluso si los visitantes comparten datos de tarjetas de crédito para comprar un producto o completan certificados de membresía de LLC en línea, sus datos permanecen protegidos. Básicamente, CSP restringe el destino de los datos de estos formularios. Además, CSP restringe la etiqueta de objeto HTML.
CSP también mitiga los ataques XSS al permitir a los administradores del servidor especificar los nombres de dominio que el navegador debe considerar como fuentes válidas de scripts ejecutables.
En última instancia, gracias a CSP, se evita que los atacantes inyecten scripts maliciosos.
Prevenir el secuestro de clics
Aunque CSP se introdujo principalmente para mitigar la superficie de ataque de los ataques XSS, también se desarrolló para ofrecer protección contra ataques a aplicaciones web como el clickjacking.
En el clickjacking, el atacante engaña al usuario para que haga clic en un botón o enlace en una página web disfrazado de otra cosa.
A menos que contrates los servicios de empresas de protección contra el robo de identidad, puedes caer en manos de atacantes que se dedican al clickjacking. No te darás cuenta hasta que hayan causado daños graves, como transferencias de dinero o compras en línea fraudulentas.
En el pasado, el encabezado X-frame-options se usaba para combatir el clickjacking. Se ha desarrollado una nueva versión de CSP, CSP nivel 2, para realizar el mismo trabajo. Sin embargo, aún puede utilizar la opción anterior de protección.
CSP nivel 2 contiene un anti-clickjacking marco-ancestros directiva. los marco-ancestros La directiva especifica la URL de la página principal a la que se le permite incrustar una página web en un marco, iFrame u objeto en el recurso actual.
Básicamente, estás restringiendo las páginas que pueden incrustar la página actual en un marco. Un ejemplo de cómo puedes usar el marco-ancestros directiva es:
política de seguridad de contenido: ancestros de marco 'self' '\*.internxt.com' ;
También puede utilizar la función marco-ancestros directiva con directiva default-src y directivas script-src para reducir los ataques de clickjacking.
¿Qué otros ataques previene la CSP?
Una de las formas en que usted es víctima de los atacantes es a través de protocolos no seguros. Puede configurar el encabezado de la política de seguridad de contenido para aplicar el protocolo HTTPS. Simplemente agregue el prefijo https:// a cualquier URL de su lista blanca. También puede aplicar HTTPS utilizando la directiva CSP "bloquear todo mixto".
Otras vulnerabilidades que puede abordar con CSP incluyen:
- Código Javascript dinámico usando eval()
- Javascript en línea no asignado en tags
- CSS dinámico usando CSSStylesheet.insertRule()
- Declaraciones CSS en línea no asignadas en tags
Cómo configurar una política de seguridad de contenido
Configurar CSP es un paso esencial para proteger su aplicación web. Puede configurar una defensa CSP para su sitio web de tres maneras.
Encabezado de política de seguridad de contenido
Este método implica enviar el encabezado de respuesta HTTP de la política de seguridad de contenido desde el servidor web. Por ejemplo;
Política-de-seguridad-de-contenido:…
Asegúrese de configurar el encabezado en todas las respuestas HTTP.
Metaetiquetas de política de seguridad de contenido
En los casos en que no pueda usar el encabezado de respuesta HTTP CSP, aún puede configurar CSP para su sitio web utilizando el elemento meta "HTTP-equiv" en el archivo HTML. Así es como se ve una línea de la etiqueta meta CSP:
Este método presenta limitaciones en las funciones de CSP que puede utilizar. Por ejemplo, no puede usar la protección de tramas ni el punto final de registro de infracciones de CSP.
Política de seguridad de contenido: encabezado de solo informe
Este encabezado indica al navegador que imprima informes de infracción del CSP y los entregue a un punto final de infracción utilizando las directivas "report-to" y "report-uri". Por ejemplo;
Informe de política de seguridad de contenido solamente: script-src 'self';
informar al punto final de informes csp
La principal diferencia entre este encabezado y el encabezado de respuesta HTTP CSP estándar es que el primero no impone la política. Sin embargo, los navegadores permiten que los sitios web utilicen tanto el encabezado "content-security-policy" como el encabezado "content-security-policy-report-only".
Detalles de implementación
Debes decidir qué directivas incluir en tu política de seguridad. Las directivas son reglas que regulan los tipos de contenido a los que acceden los navegadores web de los usuarios, como imágenes, archivos de script y hojas de estilo.
Este paso se produce antes de escribir el contenido de su sitio web y garantizar la visibilidad de su sitio. Estas dos últimas cosas son bastante fáciles de hacer incluso para los principiantes que inician un sitio. Uno de los más comunes casos de uso de IA generativa es la creación de contenidos. Entonces, todo lo que necesita hacer es insertar las indicaciones correctas y la IA creará el contenido de calidad que está buscando.
Con los numerosos recursos y herramientas de SEO gratuitos disponibles, también puedes realizar todo el trabajo de SEO tú mismo para aumentar la visibilidad de tu sitio, aunque sigue siendo mejor aprovechar los servicios de una empresa de fabricación, legal o Agencia SaaS SEO con amplia experiencia y conocimientos para obtener los mejores resultados.
Por otro lado, crear reglas específicas para cada dominio y subdominio de tu sitio web es mucho más difícil para un principiante. Empiece por conocer las reglas y los problemas disponibles. Luego, usted elige cuál debe incluirse en su lista y toma la acción adecuada (si está autorizado) o no (si está prohibido). Por eso algunos prefieren contratar desarrolladores para el trabajo.
Pero si estás dispuesto a aceptar el reto, echemos un vistazo más de cerca a las directivas CSP que mencionamos en secciones anteriores para ayudarte a gestionar este aspecto de tu sitio:
Obtener directivas
Incluye directivas de recuperación en el campo del encabezado de respuesta para especificar las ubicaciones en las que su navegador puede confiar y desde las que puede cargar tipos de recursos. La mayoría de las directivas de recuperación recurren a default-src. Esto significa que si alguna directiva de recuperación no aparece en el campo del encabezado de respuesta, los valores de la directiva se toman de las directivas predeterminadas.
Ejemplos de directivas de recuperación incluyen "child-src", "font-src" e "img-src".
Directivas de documentos
Las directivas de documentos en el campo del encabezado de respuesta de su CSP le indican al navegador las propiedades de los documentos a los que se aplica la política.
Por ejemplo, la directiva “base-URI” limita las URL que puede usar el elemento base del documento. Otro ejemplo es la directiva “sandbox”, que restringe las acciones que puede realizar la página. Las directivas de documento no recurren a las directivas default-src.
Directivas de navegación
Las directivas de navegación controlan las ubicaciones a las que un usuario puede navegar. Los ejemplos incluyen "form-action", que limita las URL para envíos de formularios, "frame-ancestors", que rige las URL que pueden enmarcar los recursos solicitados, y "navigate-to", que limita las URL a las que el documento puede navegar. .
Asegúrese de actualizar su política de seguridad periódicamente para garantizar que su sitio no se vuelva vulnerable a amenazas emergentes.
Política de pruebas
CSP puede funcionar contra un sitio web si no se configura correctamente. Aquí es donde entran las pruebas.
El modo de solo informe es un método eficaz para probar si un CSP está funcionando correctamente. El modo de solo informe proporciona información sobre la cantidad de infracciones de CSP que se habrían producido si se hubiera aplicado la política, pero no bloquea nada.
Este método de prueba ayuda a los propietarios de sitios web a comprender dónde es probable que falle su política. Como resultado, pueden modificarlo en consecuencia.
Existen diversas herramientas para probar la Política de Seguridad de Contenido (CSP) de un sitio web en modo de solo informe. Una de las más populares es el Evaluador de CSP.
Esta herramienta le permite ingresar una URL. Luego, la herramienta comprueba si existe un encabezado CSP. También mostrará si el CSP está configurado adecuadamente o no. Al mismo tiempo, analiza la política, señala posibles problemas y le orienta sobre cómo mejorarla.
La siguiente captura de pantalla muestra algunas de las sugerencias de la herramienta:
También puede utilizar escáneres CSP como Mozilla Observatory o CSP Tester. Los escáneres funcionan como el evaluador CSP. Prueban la eficacia de su CSP y recomiendan mejores prácticas para la configuración de políticas.
Extensiones como CSP Tester y CSP Debugger de Google también pueden ayudarte a probar tus CSP.
Realizan un seguimiento de lo escrito y contenido de vídeo cargado en una página web y las fuentes de las que proviene, destacando cualquier infracción de CSP.
Estas extensiones están disponibles para los navegadores Chrome y Firefox. Se pueden utilizar para probar, depurar y validar su CSP en su sitio web. También pueden generar informes sobre la eficacia (o la falta de ella) de los CSP.
Qué hacer y qué no hacer al usar un proveedor de servicios en la nube (CSP)
CSP es una herramienta eficaz que puede ayudarte a minimizar los riesgos asociados con la seguridad de las aplicaciones web. Sin embargo, como toda herramienta de seguridad, CSP tiene sus propias recomendaciones y precauciones. Es fundamental comprenderlas para poder utilizarla de forma eficaz.
Entonces, aquí hay algunas reglas:
Utilice la configuración «Strict-Dynamic». Esta configuración permite la ejecución dinámica de código JavaScript únicamente desde fuentes autorizadas mediante el atributo «nonce-». Resulta útil porque permite a los desarrolladores seguir utilizando scripts en línea en sus sitios web sin comprometer la seguridad.
Los scripts en línea son aquellos que se ejecutan dentro de los archivos HTML en lugar de como fuentes independientes. Con la opción "Estricto-Dinámico", el sitio web puede seguir utilizando scripts en línea, pero restringiendo las fuentes que estos scripts pueden ejecutar.
Sin embargo, no se recomienda el uso de código en línea. La directiva `inline` permite usar scripts y estilos directamente en el código HTML. Esto es arriesgado, ya que permite a los hackers inyectar código malicioso en el contenido. En su lugar, utilice los atributos `nonce-value` y `hash-value` para permitir scripts y estilos en línea de fuentes confiables.
Tampoco utilice 'eval()'. La directiva 'eval()' permite la ejecución de scripts generados dinámicamente. Puede eludir la CSP y ejecutar código arbitrario, lo que representa un riesgo de seguridad significativo.
Si su sitio web depende en gran medida de scripts y estilos en línea o bibliotecas y complementos de terceros, es posible que necesite ayuda para implementar CSP.
Puede utilizar una herramienta como Content Security Policy Builder para ayudarle a crear un CSP personalizado que tenga en cuenta las necesidades específicas de su sitio web y las bibliotecas y complementos de terceros.
Ejemplos de políticas de seguridad de contenido
CSP se puede implementar de varias maneras, según las necesidades específicas de un sitio web. A continuación se muestran algunos ejemplos de políticas de CSP para ayudarle a comprender mejor:
- Para configurar su encabezado CSP para permitir scripts, CSS, AJAX e imágenes del origen actual sin cargar otros recursos;
Política de seguridad de contenido: default-src 'ninguno' ; script-src 'sí mismo' ; connect-src 'sí mismo' ; img-src 'sí mismo' ; style-src 'sí mismo' ; frame-ancestors 'sí mismo' ; form-action 'sí mismo' ;
- Configurar una política moderadamente estricta en el campo del encabezado de respuesta;
script-src 'nonce-r4nd0m' 'strict-dynamic' ;
object-src 'ninguno' ; base-uri 'ninguno' ;
- La configuración del CSP para una política estricta de bloqueo;
script-src 'nonce-r4nd0m'
object-src 'ninguno' ; base-uri 'ninguno' ;
Es importante tener en cuenta que, si bien la implementación de CSP ayuda a mejorar la seguridad de su sitio web, debe utilizarse junto con otras medidas de seguridad, como protocolos de autenticación robustos, actualizaciones periódicas de software y el registro de dominios con proveedores de buena reputación, para garantizar una protección integral contra las amenazas cibernéticas.
Puede obtener más información sobre los atributos nonce para CSP en MDN. También puede aprender de esta guía de referencia.
En el cierre
La seguridad en la web no es algo con lo que se pueda jugar. Las personas pueden perder su dinero y enfrentar amenazas (entre otras cosas) de ataques cibernéticos como cross-site scripting y clickjacking. Por lo tanto, una política de seguridad de contenidos debería ser una capa de protección necesaria para todas las aplicaciones web.
Evaluar sus políticas de respuesta a incidentes, incluidos los sistemas que tiene para detectar amenazas a la seguridad cibernética, como Simulaciones de infracciones y ataquesy cómo lidiar con ellos de manera efectiva si surgieran.
Aún así, en cuanto a la seguridad, debes tomar precauciones cuando utilices Internet para evitar ser víctima de atacantes.
Al familiarizarse con los diferentes tipos de políticas y protocolos, podrá proteger mejor, no solo su sitio web, sino también a su audiencia, que podría haber compartido su información personal en su sitio.
