Report-To

Report-To: <json-field-value>

<json-field-value>

Eine oder mehrere Endpunkt-Gruppendefinitionen, definiert als JSON-Array, das die umgebenden [ und ] Klammern weglässt. Jedes Objekt im Array hat die folgenden Mitglieder:

group

Ein Name für die Gruppe von Endpunkten.

max_age

Die Zeit in Sekunden, die der Browser die Berichterstattungskonfiguration zwischenspeichern soll.

endpoints

Ein Array von einer oder mehreren URLs, an die die Berichte in der Gruppe gesendet werden sollen.

Dieses Beispiel zeigt, wie ein Server Report-To verwenden könnte, um eine Gruppe von Endpunkten zu definieren, und dann die Gruppe als den Ort festzulegen, an den CSP-Verletzungsberichte gesendet werden.

Zuerst könnte ein Server eine Antwort mit dem Report-To-HTTP-Antwort-Header senden, wie unten gezeigt. Dies spezifiziert eine Gruppe von url-Endpunkten, die durch den Gruppennamen csp-endpoints identifiziert werden.

Report-To: { "group": "csp-endpoints",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/reports" },
                { "url": "https://backup.com/reports" }
              ] }

Der Server kann dann angeben, dass er möchte, dass diese Gruppe das Ziel für das Senden von CSP-Verletzungsberichten ist, indem er den Gruppennamen als Wert der report-to-Direktive festlegt:

Content-Security-Policy: script-src https://example.com/; report-to csp-endpoints

Angesichts der oben genannten Header würden bei script-src-CSP-Verletzungen die Verletzungsberichte an beide url-Werte gesendet, die in Report-To aufgeführt sind.

Das folgende Beispiel zeigt einen Report-To-Header, der mehrere Endpunkt-Gruppen spezifiziert. Beachten Sie, dass jede Gruppe einen eindeutigen Namen hat und dass die Gruppen nicht durch die Array-Markierungen begrenzt sind.

Report-To: { "group": "csp-endpoint-1",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/csp-reports" }
              ] },
            { "group": "hpkp-endpoint",
              "max_age": 10886400,
              "endpoints": [
                { "url": "https://example.com/hpkp-reports" }
              ] }

Wir können eine Endpunkt-Gruppe als Ziel für Verletzungsberichte durch ihren Namen auswählen, auf die gleiche Weise wie im vorherigen Beispiel:

Content-Security-Policy: script-src https://example.com/; report-to csp-endpoint-1

Dieser Header ist nicht mehr Teil einer Spezifikation. Er war zuvor Teil der Reporting API.

• Reporting API und Reporting-Endpoints-Header
• report-to CSP-Direktive
• Content-Security-Policy, Content-Security-Policy-Report-Only-Header
• Content Security Policy (CSP) Leitfaden