Content Security Policy

Ein Angreifer schafft es, JavaScript in Ihre Seite zu injizieren. Wenn der Browser beliebige injizierte Skripte ausführt, kann der Angreifer innerhalb Ihrer Anwendung agieren.

Der Server teilt dem Browser mit, welche Quellen von Skripten und anderen Ressourcen zulässig sind. CORS steuert, welche Website-Ursprünge die Antworten einer API lesen können - zum Beispiel erlaubt api.example.com JavaScript auf shop.example.com, sie zu lesen. CSP steuert, welche Skripte, Bilder und Verbindungen eine Seite verwenden kann - zum Beispiel erlaubt der Shop Skripte nur aus seiner eigenen Domain und hilft, injizierte Skripte zu blockieren. Beide verwenden HTTP-Response-Header und Browser-Erzwingung, kontrollieren aber unterschiedliche Berechtigungen.