Configurazione dei criteri di sicurezza dei contenuti (CSP)

Che cos'è la politica di sicurezza dei contenuti?

Content Security Policy (CSP) è un'intestazione di risposta HTTP che consente di proteggere lo storefront da attacchi XSS (Cross-Site Scripting) e altri attacchi code injection. Con CSP è possibile controllare gli script, gli stili, le immagini e le altre risorse che i browser possono caricare sulle pagine.

Quando si configurano le intestazioni CSP per lo storefront, i browser applicano questi criteri bloccando qualsiasi contenuto che non corrisponde alle regole specificate.

Responsabilità del cliente per CSP

La configurazione CSP è responsabilità dell'utente in qualità di cliente di B2C Commerce. Salesforce non gestisce né configura CSP per conto dell'utente. È possibile controllare quali script, stili e altre risorse possono essere caricati nello storefront. È necessario assicurarsi che la configurazione CSP consenta l'esecuzione di tutti gli script necessari, inclusi gli script forniti da Salesforce e le integrazioni di terze parti. Se il CSP è troppo restrittivo, può bloccare gli script necessari per il corretto funzionamento dello storefront.

Script che richiedono la considerazione del provider di servizi di configurazione

Quando si configura il CSP, assicurarsi che i criteri consentano i seguenti tipi di script:

• Script di analisi di Salesforce: script come dwanalytics che forniscono funzionalità di monitoraggio e analisi.
• Script in linea: script incorporati direttamente nelle pagine HTML necessari per la funzionalità dello storefront.
• Script Einstein: script che alimentano i suggerimenti di Einstein, l'ordinamento predittivo e altre funzionalità di personalizzazione.

Risoluzione dei problemi relativi al provider di servizi di configurazione

Se le funzionalità dello storefront non funzionano come previsto, è possibile che le restrizioni CSP blocchino gli script necessari. Per diagnosticare i problemi di CSP, aprire gli strumenti di sviluppo del browser e controllare la scheda Console per verificare la presenza di errori di violazione CSP. Esaminare quindi i messaggi di errore per identificare quali script o risorse vengono bloccati. Infine, aggiornare la configurazione CSP per consentire le risorse bloccate.

Collaborare con il team di sviluppo per esaminare e modificare le impostazioni CSP in modo da consentire tutti gli script necessari, mantenendo al contempo le protezioni di sicurezza appropriate.