Content-Security-Policy è un'intestazione di risposta HTTP che indica al browser quali origini di script, immagini, stili, frame e altri contenuti sono autorizzate a caricarsi. In pratica, CSP agisce come una allowlist lato browser: anche se una pagina viene compromessa, la policy può bloccare script malevoli, iframe iniettati e canali di esfiltrazione dei dati indesiderati.
CSP è importante perché gli attacchi web spesso dipendono dal caricamento di codice controllato dall'attaccante da un nuovo dominio o di payload inline all'interno di una pagina fidata. Una CSP robusta può ridurre l'impatto del cross-site scripting e dell'abuso dei plugin, ed è anche utile per i difensori che vogliono limitare le dipendenze di terze parti. Negli attacchi a livello browser, ad esempio quando un Service Worker malevolo interferisce con le risposte, la rimozione o l'indebolimento della CSP può riaprire la strada alla consegna del payload. Ecco perché i team dovrebbero verificare che le intestazioni CSP siano ancora presenti, correttamente applicate e non vengano rimosse o alterate.