2026-10-31
Gerenciar scripts de terceiros com segurança: inventário, SRI, CSP e destinos de formulários
Um script de terceiros pode ler a página em que roda, incluindo o que o usuário digita. Se o fornecedor for comprometido ou o arquivo mudar, seus usuários são afetados mesmo que o seu servidor esteja intacto. A ordem de defesa: listar tudo o que roda, remover o desnecessário, adicionar SRI a arquivos fixos ou servir uma cópia revisada do seu próprio site, restringir origens e destinos com CSP e verificar mudanças periodicamente. O CSP form-action não herda default-src, então defina-o explicitamente.