La seguridad web no es algo opcional hoy en d\u00eda. Si tienes un blog, una tienda o cualquier proyecto online, sabes que los atacantes siempre est\u00e1n buscando la rendija. Una de las viejas conocidas en este juego es el Cross-Site Scripting (XSS). Es la vulnerabilidad estrella para inyectar scripts maliciosos y fastidiar la visita de usuarios desprevenidos. Aqu\u00ed es donde se vuelve vital la Pol\u00edtica CSP evitar XSS<\/strong> (Content Security Policy). Funciona como una capa extra. Le dice al navegador qu\u00e9 fuentes son dignas de confianza y cu\u00e1les no.<\/p>\n En cristiano: la CSP act\u00faa como una lista blanca. T\u00fa le das las instrucciones al navegador: \u00abCarga scripts de este dominio, im\u00e1genes de este otro y estilos de este tercero. Nada m\u00e1s\u00bb. Si alguien intenta colar un script desde un dominio que no autorizaste, el navegador lo corta de ra\u00edz. Implementar una Pol\u00edtica CSP evitar XSS<\/strong> ya no es un lujo, es un est\u00e1ndar que cualquier administrador de sistemas o desarrollador que se respete debe tener en su radar.<\/p>\n Para que esto funcione, tienes que entender el mecanismo. Las cabeceras CSP se arman con directivas. Cada una controla un tipo de recurso. La estructura es simple: Directiva Valor<\/em>. Pero ojo, los detalles importan. Estas son las claves para blindar tu aplicaci\u00f3n:<\/p>\n Consejo Pro:<\/em> Hay una tentaci\u00f3n peligrosa: abusar de ‘unsafe-inline’. Permite ejecutar scripts en l\u00ednea (dentro del HTML) o controladores como onclick. Huye de eso. Anula gran parte de la protecci\u00f3n que buscas. Si puedes, usa hashes o nonces.<\/p>\n<\/div>\n No lances la cabecera a lo loco. Antes de bloquear cosas, debes saber que hay dos formas de hacer esto. Saltarte el paso de prueba puede dejar tu sitio medio roto si bloqueas un script bueno por error.<\/p>\n Este es el modo ensayo. Al poner esta cabecera, el navegador no bloquea nada. Solo env\u00eda un reporte a una URL que t\u00fa definas (con report-uri<\/em> o report-to<\/em>) avisando de qu\u00e9 habr\u00eda bloqueado. Es la mejor forma de auditar tu sitio durante unas semanas antes de activar la protecci\u00f3n real.<\/p>\n Una vez revisados los reportes y corregidos los errores (sacando scripts en l\u00ednea, agregando dominios de confianza), cambias a este modo. Aqu\u00ed el navegador se pone serio y bloquea cualquier carga no autorizada. En entornos gestionados como los de RedServicio<\/strong>, es vital probar esto en un entorno de staging (pruebas) antes de tocar producci\u00f3n.<\/p>\n Vamos a ver c\u00f3digo. La forma m\u00e1s habitual de pegarle a esto es desde la configuraci\u00f3n de tu servidor web.<\/p>\n Si est\u00e1s en Apache, a\u00f1ade esto a tu archivo .htaccess<\/em> en la ra\u00edz. Este ejemplo permite scripts solo de tu dominio y de Google Analytics:<\/p>\n Mira bien esto: object-src ‘none’<\/em> es excelente para bloquear plugins viejos como Flash o Java, que son un blanco f\u00e1cil para ataques. base-uri ‘self’<\/em> evita que inyecten etiquetas <base> maliciosas.<\/p>\n Para los de Nginx, la directiva va en el bloque server<\/em> o location<\/em>:<\/p>\n Ojo al par\u00e1metro \u00abalways\u00bb<\/em>. Asegura que la cabecera se env\u00ede incluso si hay errores de respuesta. En este caso se us\u00f3 ‘unsafe-inline’ en estilos porque a veces los CMS lo exigen, aunque lo ideal es quitarlo si puedes.<\/p>\n Si no tienes acceso al servidor, env\u00eda la cabecera desde PHP. Eso s\u00ed, aseg\u00farate de que se ejecute antes de cualquier salida HTML:<\/p>\n A veces, la web moderna te obliga a usar peque\u00f1os trozos de c\u00f3digo en l\u00ednea. Sobre todo si usas herramientas de optimizaci\u00f3n que inyectan CSS cr\u00edtico o scripts de configuraci\u00f3n. Para no caer en ‘unsafe-inline’, existen los nonces<\/strong> (n\u00fameros de un solo uso).<\/p>\n Un nonce es un valor aleatorio que genera tu servidor para cada petici\u00f3n. Lo pones en la cabecera CSP y tambi\u00e9n en el atributo nonce<\/em> de la etiqueta script. Si el valor no cuadra, el navegador no ejecuta nada.<\/p>\n Ejemplo en cabecera:<\/p>\n Ejemplo en HTML:<\/p>\n As\u00ed mantienes la Pol\u00edtica CSP evitar XSS<\/strong> a raya. Permites solo ese script espec\u00edfico y bloqueas cualquier inyecci\u00f3n que no tenga el nonce exacto.<\/p>\n Activada la pol\u00edtica (incluso en Report-Only), necesitas saber qu\u00e9 falla. Las violaciones llegan como documentos JSON a tu endpoint.<\/p>\n Para capturarlos, configura la directiva report-uri<\/em>. Est\u00e1 en desuso en favor de report-to<\/em>, pero la primera tiene un soporte amplio y es m\u00e1s r\u00e1pida de implementar:<\/p>\n En el servidor, un script simple en PHP te sirve para guardar estos datos en un log:<\/p>\n Revisar esos logs te dir\u00e1 qu\u00e9 est\u00e1 siendo bloqueado (un banner, un widget social, una fuente de Google) y te permitir\u00e1 ajustar las reglas con precisi\u00f3n.<\/p>\n \u00bfLa CSP reemplaza a la sanitizaci\u00f3n de entrada?<\/strong><\/p>\n Para nada. La CSP es una defensa en profundidad. Debes seguir limpiando todas las entradas de usuario (escapando caracteres HTML) en el backend. La CSP es el \u00faltimo freno de seguridad por si algo se te escapa.<\/p>\n \u00bfQu\u00e9 pasa si uso jQuery desde un CDN?<\/strong><\/p>\n Agrega el dominio del CDN en tu directiva script-src<\/em>. Algo como: script-src ‘self’ https:\/\/code.jquery.com;<\/em><\/p>\n<\/div>\n Implementar una Pol\u00edtica CSP evitar XSS<\/strong> es de las mejores decisiones que puedes tomar para endurecer tu sitio contra inyecciones de c\u00f3digo. Requiere un poco de paciencia al principio para ajustar todo, pero la ganancia en seguridad es enorme. Al limitar los or\u00edgenes, le cierras la puerta a los ciberdelincuentes.<\/p>\n La seguridad no es un producto, es un proceso. Empieza con el modo \u00abReport-Only\u00bb, mira los logs, ajusta las directivas y activa el cumplimiento poco a poco. Si buscas un hosting estable y seguro donde desplegar todo esto con tranquilidad, en RedServicio<\/strong> tenemos infraestructuras listas y soporte t\u00e9cnico 24\/7 para ayudarte a configurar estas protecciones. Cuida tu reputaci\u00f3n y la confianza de tus usuarios.<\/p>\n","protected":false},"excerpt":{"rendered":" \u00bfQu\u00e9 es y por qu\u00e9 necesitas una Pol\u00edtica CSP evitar XSS? La seguridad web no es algo opcional hoy en […]<\/p>\n","protected":false},"author":5,"featured_media":840,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[11],"tags":[],"class_list":["post-838","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad"],"yoast_head":"\nEntendiendo las directivas b\u00e1sicas de la CSP<\/h2>\n
\n
Modos de implementaci\u00f3n: Report-Only vs. Enforcement<\/h2>\n
1. Content-Security-Policy-Report-Only<\/h3>\n
2. Content-Security-Policy<\/h3>\n
Ejemplos de configuraci\u00f3n para Policy CSP evitar XSS<\/h2>\n
Implementaci\u00f3n en Apache (.htaccess)<\/h3>\n
\n<IfModule mod_headers.c>\n Header set Content-Security-Policy \"default-src 'self'; script-src 'self' https:\/\/www.google-analytics.com; object-src 'none'; base-uri 'self';\"\n<\/IfModule>\n<\/pre>\n
Implementaci\u00f3n en Nginx (nginx.conf)<\/h3>\n
\nadd_header Content-Security-Policy \"default-src 'self'; script-src 'self' https:\/\/cdn.ejemplo.com; style-src 'self' 'unsafe-inline';\" always;\n<\/pre>\n
Implementaci\u00f3n en PHP (header())<\/h3>\n
\n<?php\nheader(\"Content-Security-Policy: default-src 'self'; script-src 'self';\");\n?>\n<\/pre>\n
Uso de Nonces y Hashes para scripts inline<\/h2>\n
\nContent-Security-Policy: script-src 'nonce-EDNnf03nceIOfn39fn3e9h3sdfa'\n<\/pre>\n
\n<script nonce=\"EDNnf03nceIOfn39fn3e9h3sdfa\">\n \/\/ C\u00f3digo JS seguro\n<\/script>\n<\/pre>\n
C\u00f3mo depurar violaciones de la CSP<\/h2>\n
\nContent-Security-Policy: default-src 'self'; report-uri \/csp-violation-report-endpoint;\n<\/pre>\n
\n<?php\n\/\/ csp-violation-report-endpoint.php\n$input = file_get_contents('php:\/\/input');\nfile_put_contents('csp-logs.txt', $input . PHP_EOL, FILE_APPEND);\n?>\n<\/pre>\nPreguntas Frecuentes<\/h3>\n
Conclusi\u00f3n<\/h2>\n