Ho un negozio che funziona perfettamente con l'ultima versione di Magento (attualmente 2.1.1) e sto cercando di migliorare la sicurezza attraverso la politica di sicurezza dei contenuti su Apache 2.4.7 (Ubuntu 14.04). Ho rimosso tutti i tag "<script>" dalle pagine di contenuto e creato file.js separati.
Sulla sicurezza di Apache ho impostato:
Header set Content-Security-Policy "default-src 'self'"
Tuttavia, non funziona. Sembra che Magento stesso abbia aggiunto alcuni tag "<script>". Esempio dalle primissime righe di origine:
<! doctype html>
<html lang = "pt-BR">
<head>
<script>
var require = {
"baseUrl": " http://example.com/pub/static/frontend/Magento/luma/pt_BR "
}; </ script>
Quindi mi sembra che per configurare CSP dovrei abilitare "unsafe-inline" che non è affatto sicuro dopo tutto.
Header set Content-Security-Policy "default-src 'self' script-src 'self' 'unsafe-inline' 'unsafe-eval'".
Qualcuno sa come impostare Magento correttamente con CSP? Grazie!