1 artículo con esta etiqueta
Un script de terceros puede leer la página en la que se ejecuta, incluido lo que escribe el usuario. Si el proveedor es comprometido o el archivo cambia, tus usuarios se ven afectados aunque tu servidor esté intacto. El orden de defensa: listar todo lo que se ejecuta, quitar lo innecesario, añadir SRI a los archivos fijos o servir una copia revisada desde tu sitio, restringir orígenes y destinos con CSP y revisar los cambios con regularidad. CSP form-action no recurre a default-src, así que hay que definirlo de forma explícita.