Content-Security-Policy: connect-src Richtlinie

Der HTTP-Content-Security-Policy (CSP) connect-src-Richtlinie beschränkt die URLs, die über Skriptschnittstellen geladen werden können. Die folgenden APIs werden durch diese Richtlinie kontrolliert:

• Das ping-Attribut in <a>-Elementen
• fetch()
• fetchLater() Experimentell
• XMLHttpRequest
• WebSocket
• EventSource
• Navigator.sendBeacon()

Syntax

Content-Security-Policy: connect-src 'none';
Content-Security-Policy: connect-src <source-expression-list>;

Diese Richtlinie kann einen der folgenden Werte haben:

'none'

Keine Ressourcen dieses Typs dürfen geladen werden. Die einfachen Anführungszeichen sind obligatorisch.

<source-expression-list>

Eine durch Leerzeichen getrennte Liste von Quell-Ausdruck-Werten. Ressourcen dieses Typs dürfen geladen werden, wenn sie mit einem der angegebenen Quellausdrücke übereinstimmen. Für diese Richtlinie sind die folgenden Quell-Ausdruck-Werte anwendbar:

• <host-source>
• <scheme-source>
• 'self'

Beispiele

Verletzungsfälle

Angenommen, dieser CSP-Header:

Content-Security-Policy: connect-src https://example.com/

Die folgenden Verbindungen werden blockiert und nicht geladen:

<a ping="https://not-example.com" href="/">Link</a>
<script>
 const response = fetch("https://not-example.com/");
 const xhr = new XMLHttpRequest();
 xhr.open("GET", "https://not-example.com/");
 xhr.send();
 const ws = new WebSocket("wss://not-example.com/");
 const es = new EventSource("https://not-example.com/");
 navigator.sendBeacon("https://not-example.com/", {
 /* ... */
 });
</script>

Spezifikationen

Browser-Kompatibilität

Siehe auch

• Content-Security-Policy
• <a> ping
• fetch()
• XMLHttpRequest
• WebSocket
• EventSource