Cabeceras de la política de seguridad de contenidos

La política de seguridad de contenidos proporciona seguridad añadida al restringir cómo y dónde se puede cargar contenido en tu sitio web. Este artículo de referencia cubre qué encabezados de políticas de seguridad de contenidos son necesarios con el SDK Web.

Atributos nonce

Si utilizas un valor nonce en tus directivas script-src o style-src, pasa ese valor a la opción de inicialización contentSecurityNonce para propagarlo a los scripts recién creados y a los estilos generados por el SDK:

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  contentSecurityNonce: "YOUR-NONCE-HERE", // assumes a "nonce-YOUR-NONCE-HERE" CSP value
});

Directivas

connect-src

script-src

img-src

Font Awesome

Para desactivar la inclusión automática de Font Awesome, utiliza la opción de inicialización doNotLoadFontAwesome:

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  doNotLoadFontAwesome: true,
});

Si decides utilizar Font Awesome, se requieren las siguientes directivas CSP:

• font-src https://use.fontawesome.com
• style-src https://use.fontawesome.com
• style-src 'nonce-...' o style-src 'unsafe-inline'