Content-Security-Policy
Контролирует, какие ресурсы браузер может загружать для страницы, помогая предотвратить XSS и инъекции данных.
Синтаксис
Content-Security-Policy: <директива> <источник>; <директива> <источник>Пример
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.comОписание
Заголовок Content-Security-Policy (CSP) — один из самых мощных механизмов безопасности для веб-разработчиков. Он определяет список доверенных источников контента, эффективно предотвращая межсайтовый скриптинг (XSS) и другие атаки с внедрением кода.
CSP работает через директивы, управляющие загрузкой ресурсов: default-src задаёт политику по умолчанию, script-src контролирует источники JavaScript, style-src управляет CSS, а img-src — изображениями.
Правильная реализация CSP требует планирования. Начните с Content-Security-Policy-Report-Only для мониторинга нарушений без блокировки, затем постепенно ужесточайте политику.
Как этот заголовок отдают реальные сайты
Ответы главных страниц 502 популярных сайтов из каталога /check enterno.io, проверенных за последние 30 дней.
37,1 %
(186 из 502) отдают Content-Security-Policy.
Посмотреть на примере: mail.ru, yandex.ru, discord.com, github.com, cloudflare.com
Отчет «Безопасность популярных сайтов», ноябрь 2026: из 5 501 главных страниц по HTTPS в отчете
- 35,1 % применяют CSP
- 4,1 % только в режиме Report-Only
Проверьте, правильно ли ваш сайт отправляет этот заголовок
Проверить заголовки →