Dreimal hält besser

Content Security Policy (CSP) ist ein „Defense in depth“-Mechanismus, der per HTTP-Header oder <meta>-Tag einschränkt, welche Ressourcen Browser verwenden dürfen. Der Hauptzweck dieses W3C-Standards liegt in der Vermeidung von XSS-Angriffen: Selbst wenn eine Webanwendung eine Cross-Site-Scripting-Lücke besitzt, kann CSP deren Ausnutzung in vielen Fällen verhindern. Wir haben uns Content Security Policy in der dotnetpro bereits ausführlich angesehen [1].