Tag: CSP

2 articoli

Mixed content: la pagina è in HTTPS, le dipendenze no

Il lucchetto sulla home non basta. Mixed content è una pagina HTTPS che pesca HTTP. Immagini auto-promosse, script bloccati. Il plugin «forza HTTPS» n...

Content-Security-Policy: l'header che i plugin anti-XSS non sostituiscono

La CSP è un header HTTP, non un plugin. Dice al browser da dove può caricare gli script. Report-Only prima, enforcement dopo. unsafe-inline la svuota....