Как настроить Content-Security-Policy с nonce

1. Сгенерируйте nonce в PHP. В начале шаблона: $nonce = base64_encode(random_bytes(16));. Обязательно новый nonce на каждый запрос.
2. Добавьте CSP заголовок. В PHP: header("Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-{$nonce}'; style-src 'self' 'nonce-{$nonce}'; object-src 'none'; base-uri 'self'");
3. Расставьте nonce на inline скрипты. <script nonce="<?= $nonce ?>">console.log('ok');</script>. Без nonce скрипт будет заблокирован.
4. Проверьте через валидатор. Используйте /csp чекер Enterno.io. Grade A означает корректная настройка.
5. Включите CSP-Report-Only параллельно. Для мониторинга: Content-Security-Policy-Report-Only: ...; report-uri /csp-report.php. Собирайте violations перед enforcing.

Открыть инструмент →