CSP: Difference between revisions

Revision as of 21:12, 22 April 2025

سياسة أمن المحتوى (CSP)

سياسة أمن المحتوى (Content Security Policy - CSP) هي آلية أمان قوية تُستخدم لتقليل وتخفيف هجمات حقن التعليمات البرمجية مثل هجمات XSS (Cross-Site Scripting) وهجمات حقن SQL. تعمل CSP عن طريق تحديد مصادر المحتوى الموثوق بها التي يمكن للمتصفح تحميلها وتنفيذها لصفحة ويب معينة. بمعنى آخر، تسمح CSP لصاحب الموقع بالتحكم الدقيق في ما يمكن أن يفعله المتصفح على موقعه. تعتبر CSP خط الدفاع الأول ضد العديد من التهديدات الأمنية الشائعة.

كيف تعمل سياسة أمن المحتوى؟

تعمل CSP عن طريق إرسال رأس HTTP يسمى `Content-Security-Policy` من الخادم إلى المتصفح. يحتوي هذا الرأس على قائمة من التوجيهات التي تخبر المتصفح بالمصادر المسموح بها للمحتوى. إذا حاول المتصفح تحميل مورد من مصدر غير مدرج في السياسة، فسيتم حظره.

مثال بسيط لسياسة أمن المحتوى:

``` Content-Security-Policy: default-src 'self' ```

هذه السياسة تسمح فقط بتحميل الموارد من نفس المصدر (النطاق والمخطط والمنفذ) الذي يتم منه تحميل الصفحة. وهذا يعني أن الصور والبرامج النصية وأوراق الأنماط والوسائط المتعددة يجب أن تكون جميعها مستضافة على نفس الخادم.

توجيهات سياسة أمن المحتوى

تتضمن CSP مجموعة واسعة من التوجيهات لتحديد أنواع مختلفة من الموارد. بعض التوجيهات الأكثر شيوعًا تشمل:

default-src: يحدد المصدر الافتراضي لجميع أنواع الموارد التي لم يتم تحديدها بشكل صريح.
script-src: يحدد المصادر المسموح بها للبرامج النصية (JavaScript).
style-src: يحدد المصادر المسموح بها لأوراق الأنماط (CSS).
img-src: يحدد المصادر المسموح بها للصور.
media-src: يحدد المصادر المسموح بها لموارد الوسائط (الفيديو والصوت).
font-src: يحدد المصادر المسموح بها للخطوط.
connect-src: يحدد المصادر المسموح بها لطلبات HTTP (مثل AJAX).
object-src: يحدد المصادر المسموح بها لمكونات <object>.
frame-src: يحدد المصادر المسموح بها لـ <frame> و <iframe>.
report-uri: يحدد عنوان URL الذي يجب إرسال تقارير انتهاكات CSP إليه.
upgrade-insecure-requests: يجبر المتصفح على ترقية جميع طلبات HTTP إلى HTTPS.

أمثلة على توجيهات CSP
التوجيه	الوصف	مثال
script-src	تحديد مصادر JavaScript المسموح بها	script-src 'self' https://example.com
style-src	تحديد مصادر CSS المسموح بها	style-src 'self' 'unsafe-inline'
img-src	تحديد مصادر الصور المسموح بها	img-src data: 'self'
connect-src	تحديد مصادر طلبات AJAX المسموح بها	connect-src https://api.example.com

الفوائد الرئيسية لـ CSP

تقليل هجمات XSS: CSP هي وسيلة فعالة للغاية لمنع هجمات XSS عن طريق تقييد المصادر التي يمكن للمتصفح تحميل وتنفيذ التعليمات البرمجية منها.
حماية ضد حقن التعليمات البرمجية: تساعد CSP في منع أنواع أخرى من هجمات حقن التعليمات البرمجية عن طريق التحكم في أنواع الموارد التي يمكن تحميلها.
تحسين وضع الأمان العام: تضيف CSP طبقة إضافية من الأمان إلى موقع الويب الخاص بك.
سهولة التنفيذ: يمكن تنفيذ CSP بسهولة عن طريق إضافة رأس HTTP إلى استجابة الخادم.

أفضل الممارسات لتنفيذ CSP

ابدأ بسياسة مقيدة: ابدأ بسياسة CSP مقيدة للغاية، ثم قم بتوسيعها تدريجيًا حسب الحاجة.
استخدم 'self' كقاعدة: استخدم 'self' كمصدر افتراضي قدر الإمكان.
استخدم Nonces و Hashes: استخدم Nonces و Hashes لتمكين البرامج النصية المضمنة (inline scripts) بأمان.
راقب تقارير الانتهاكات: استخدم توجيه `report-uri` لمراقبة تقارير انتهاكات CSP وتحديد المشكلات المحتملة.
اختبر سياستك: اختبر سياسة CSP الخاصة بك بدقة قبل نشرها في بيئة الإنتاج.

أدوات اختبار CSP

هناك العديد من الأدوات المتاحة لاختبار سياسة أمن المحتوى الخاصة بك، بما في ذلك:

CSP Evaluator: أداة عبر الإنترنت لتقييم سياسة CSP الخاصة بك. [[1]]
SecurityHeaders.io: أداة لتحليل رؤوس HTTP، بما في ذلك CSP. [[2]]
Browser Developer Tools: أدوات المطور في معظم المتصفحات الحديثة يمكنها المساعدة في تحديد انتهاكات CSP.

CSP و الحماية من التهديدات

تعتبر CSP جزءًا حيويًا من استراتيجية شاملة للحماية من التهديدات. يجب دمجها مع تدابير أمنية أخرى، مثل تشفير HTTPS، تحديث البرامج بانتظام، و إدارة كلمات المرور القوية.

استراتيجيات تداول ذات صلة

تحليل فني وتحليل حجم التداول

المراجع

الأمن السيبراني هجمات الويب حقن التعليمات البرمجية التصديق التشفير بروتوكول HTTPS سياسات الخصوصية الامتثال الأمني تطوير الويب الآمن اختبار الاختراق تقييم الثغرات الأمنية شبكات توصيل المحتوى (CDN) جدار الحماية أنظمة كشف التسلل (IDS) أنظمة منع التسلل (IPS)

ابدأ التداول الآن

سجل في IQ Option (الحد الأدنى للإيداع $10) افتح حساباً في Pocket Option (الحد الأدنى للإيداع $5)

انضم إلى مجتمعنا

اشترك في قناة Telegram الخاصة بنا @strategybin للحصول على: ✓ إشارات تداول يومية ✓ تحليلات استراتيجية حصرية ✓ تنبيهات باتجاهات السوق ✓ مواد تعليمية للمبتدئين