Cabeçalhos de política de segurança de conteúdo

A Content-Security-Policy oferece segurança adicional ao restringir como e onde o conteúdo pode ser carregado em seu site. Este artigo de referência aborda quais cabeçalhos de política de segurança de conteúdo são necessários com o Web SDK.

Atribuições de nonce

Se você usar um valor nonce nas diretivas script-src ou style-src, passe esse valor para a opção de inicialização contentSecurityNonce para propagá-lo para scripts e estilos recém-criados gerados pelo SDK:

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  contentSecurityNonce: "YOUR-NONCE-HERE", // assumes a "nonce-YOUR-NONCE-HERE" CSP value
});

Diretrizes

connect-src

script-src

img-src

Font Awesome

Para desativar a inclusão automática da Font Awesome, use a opção de inicialização doNotLoadFontAwesome:

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  doNotLoadFontAwesome: true,
});

Se você optar por usar a Font Awesome, as seguintes diretivas do CSP serão necessárias:

• font-src https://use.fontawesome.com
• style-src https://use.fontawesome.com
• style-src 'nonce-...' ou style-src 'unsafe-inline'