[{"data":1,"prerenderedAt":132},["ShallowReactive",2],{"publication:he:P155":3},{"meta":4,"copy":15,"relatedArticles":118,"terms":119,"term":120,"resourceParent":126,"glossaryParent":129},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P155","\u002Fglossary\u002Fcsp","term","מה זה CSP","מה זה CSP ואיך מדיניות תוכן מגינה על האתר","CSP היא מדיניות שהאתר מעביר לדפדפן להגבלת משאבים ופעולות. הסבר על אכיפה, Report-Only, הטמעות ותלות חיצונית, בלי תצורה גורפת.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fcloudflare","2026-10-29",{"intro":16,"sections":17,"checklist":75,"faq":80,"sources":90,"links":93,"cta":113},"CSP, קיצור של Content Security Policy, היא מדיניות שהאתר מעביר לדפדפן כדי להגביל משאבים ופעולות במסמך. היא יכולה לסייע בהפחתת סיכוני XSS והטמעה לא רצויה בהתאם להוראות שהוגדרו. היא אינה מתקנת קוד פגיע בעצמה ואינה חוסמת כל סוג תקיפה. התאמה לאתר ובדיקת תפקוד הן חלק מההטמעה.",[18,27,58,63,68],{"title":19,"paragraphs":20,"sources":23},"המדיניות מגדירה כללים למסמך בדפדפן",[21,22],"הוראות CSP יכולות לעסוק בסקריפטים, תמונות, חיבורים, טפסים והטמעת הדף. הן אינן כלל אחיד שפותח או סוגר את כל הרשת. לדוגמה, אישור מקור לתמונה אינו שקול לאישורו כסקריפט. צריך לבחור הוראות התואמות למה שהיישום צריך ולדרך שבה הוא בנוי.","OWASP מתאר CSP כשכבת הגנה נוספת לצד פיתוח בטוח, לרבות מדיניות המבוססת על nonces או hashes במקרים מתאימים. אין להחליף בין nonce ייעודי ל-CSP לבין מנגנון בשם דומה במערכת אחרת. בחירת השיטה דורשת התאמה ליצירת הדף, למטמון ולהפצת הקוד.",[24],{"label":25,"url":26},"OWASP: תכנון והטמעת CSP","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FContent_Security_Policy_Cheat_Sheet.html",{"title":28,"paragraphs":29,"table":31,"sources":54},"מה ההבדל בין מדיניות לדיווח למדיניות נאכפת",[30],"כותרת Content-Security-Policy מפעילה את המדיניות שהוגדרה. כותרת Content-Security-Policy-Report-Only מאפשרת לדווח על הפרות בלי לאכוף את אותה מדיניות. שתיהן יכולות להופיע במקביל למטרות שונות, ולכן צריך לבדוק איזו הוראה נשלחה ובאיזה מצב, ולא להסתפק במילה CSP בסריקה.",{"caption":32,"headers":33,"rows":37},"מושגים בתוך הטמעת CSP",[34,35,36],"רכיב","משמעות","מה אינו מוכיח",[38,42,46,50],[39,40,41],"מדיניות במצב דיווח","בחינת הפרות ללא אכיפת אותה מדיניות","שמשאבים מפרים נחסמו",[43,44,45],"מדיניות נאכפת","הדפדפן מפעיל את הכללים שנשלחו","שכל מסלול יישום בטוח",[47,48,49],"דוח הפרה","תצפית בהפרה בתנאים מסוימים","שמדובר בהכרח בתקיפה",[51,52,53],"רשימת מקורות","בחירה של מקורות מותרים בהוראה","שכל קוד מהמקור הוא אמין",[55],{"label":56,"url":57},"MDN: מדיניות CSP ובדיקה במצב דיווח","https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCSP",{"title":59,"paragraphs":60},"דוגמה: שירות מפות מול רכיב שלא מוכר לצוות",[61,62],"בתרחיש להמחשה בלבד, מיפוי אתר מגלה שירות מפות נדרש וגם סקריפט ישן שאיש אינו מזהה. בניית CSP היא הזדמנות לברר מי אחראי לכל תלות. לא מוסיפים אוטומטית כל מקור שמופיע בדוח לרשימה המותרת. בודקים צורך, מקור והשלכה, ושומרים תיעוד החלטה.","בסביבת הבדיקה מוודאים שהמפה והטופס הנחוצים עובדים, ושמשאב מחוץ למדיניות אינו מתקבל כשהמדיניות נאכפת. דוחות נשלחים רק ליעד מאושר עם טיפול מתאים במידע שהם עשויים להכיל. איסוף דוחות רחב ללא בעלים ותהליך טיפול אינו תחליף לבדיקה מסודרת.",{"title":64,"paragraphs":65},"למה אין כותרת אחת שמתאימה לכל אתר",[66,67],"מערכת עם קוד מוטמע, תוספים וטעינה דינמית שונה מדף סטטי. העתקת מדיניות יכולה להשאיר הרשאות רחבות מדי או לפגוע בכניסה, בצאט ובטופס. הניסוח צריך לשקף את התלות המוכרת, ואחר כך להיבדק בדפים ובתהליכים מייצגים. שינויים בתוספים ובספקים עשויים לדרוש עדכון מדיניות.","אם מדיניות חדשה מפריעה לפעולה חיונית, מבררים את ההוראה והמקור במקום לפתוח הכול. שינוי ב-CSP אינו נימוק לדלג על טיפול בנקודת XSS שהתגלתה בקוד. יש להגדיר מי רשאי לעדכן את המדיניות ומי מאשר תלות חדשה אחרי מסירת האתר.",{"title":69,"paragraphs":70,"example":72},"איך יודעים מה הוטמע ומה נשאר פתוח",[71],"תוצר שימושי מציין דפים, מצב מדיניות, תלויות מאושרות וחריגות. בודקים את הכותרת בתגובה המוגשת בפועל ואת התנהגות הדפדפן, ולא רק שורה בקובץ הגדרות. מפרידים בין תצפית מקומית לבין בדיקת השרת החי ובין מדגם תהליכים לכיסוי מלא.",{"title":73,"text":74},"תיעוד קצר למדיניות תוכן","נתיב: __. מצב דיווח או אכיפה: __. תלות מאושרת: __. בדיקות טופס וכניסה: __. חריגה: __. יעד דיווח ואחראי: __. שינוי עתידי שמצריך בחינה: __.",[76,77,78,79],"הוגדרו משאבים ופעולות נחוצים.","דיווח ואכיפה נבדקו בנפרד.","אושרו תלויות לאחר בירור ולא אוטומטית.","נבדקו הכותרת בפועל והתהליכים המייצגים.",[81,84,87],{"question":82,"answer":83},"CSP מונעת כל XSS?","לא, יעילותה תלויה במדיניות וביישום, והיא שכבה נוספת. עדיין צריך לטפל בהצגת תוכן לא בטוחה ובהגנות הקוד המתאימות.",{"question":85,"answer":86},"צריך לאשר כל כתובת שמופיעה בדוח?","לא, דוח הוא בסיס לבירור. מקור יכול להיות לא נחוץ, לא מוכר או קשור לתוסף בדפדפן. מאשרים רק תלות שנבדקה ומתאימה לצורך.",{"question":88,"answer":89},"CSP מגינה גם על מפתחות API בשרת?","היא אינה מערכת לניהול סודות. מפתח סודי דורש אחסון, הרשאות ומחזור חיים מתאימים; פרסומו בקוד הדפדפן אינו מתוקן באמצעות CSP.",[91,92],{"label":25,"url":26},{"label":56,"url":57},[94,97,100,103,106,108,110],{"path":95,"label":96},"\u002Fblog\u002Fsecurity-headers-explained","איך בוחרים ובודקים כותרות אבטחה",{"path":98,"label":99},"\u002Fblog\u002Fhttp-security-score-limits","מה אומר ציון סריקה",{"path":101,"label":102},"\u002Fglossary\u002Fxss","הסבר על XSS",{"path":104,"label":105},"\u002Fglossary\u002Fhsts","ההבדל מתפקיד HSTS",{"path":13,"label":107},"הגדרות אבטחה בשכבת Cloudflare",{"path":12,"label":109},"סקירת הגדרות ותלויות האתר",{"path":111,"label":112},"\u002Fblog\u002Fthird-party-script-data-flow","בדיקת נתונים וקוד של צד שלישי",{"title":114,"description":115,"button":116,"type":117},"רוצים לבדוק מדיניות CSP קיימת או לתכנן חדשה?","נבחן דפים ותלויות ונגדיר בדיקות לפני שינוי אכיפה, בהתאם לסביבת האתר.","לתיאום בדיקה וטיפול","check",[],[],{"name":121,"aliases":122},"CSP",[123,124,125],"csp","content security policy","מדיניות אבטחת תוכן",{"path":127,"label":128},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":130,"label":131},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061568]