Muss sich der CSP-Header auf jedem Asset Ihrer Site befinden?

Question

Ich suchte im Internet, konnte aber keine Antwort finden.

Muss sich ein CSP-Header auf jedem Asset auf Ihrer Site befinden oder ist es genug, dass es auf einem (oder einigen anderen) Asset liegt, damit ein Browser die CSP-Anweisungen befolgt?

Answer 1

Es sollte bei jeder HTML-Antwort sein, es muss nicht auf anderen Assets wie Bildern oder Symbolen sein. Je nachdem, wie Sie Ihre Site hosten, sollte dies auf globaler Ebene konfigurierbar sein (z. B. IIS, Sie können Ihrer web.config globale Header hinzufügen)