CSP : connect-src
La directive HTTP Content-Security-Policy
connect-src
restreint les URL qui peuvent être chargées en utilisant des interfaces de programmation. Les API concernées sont :
<a>
et l'attributping
,fetch()
,XMLHttpRequest
,WebSocket
,EventSource
,Navigator.sendBeacon()
.
Note : connect-src 'self'
ne s'applique pas aux schémas de websocket pour tous les navigateurs. Pour plus d'informations, consulter ce ticket (en anglais).
Version de CSP | 1 |
---|---|
Type de directive | Directive de récupération |
Utilisation de default-src par défaut |
Oui, si cette directive est absente, l'agent utilisateur consultera la directive default-src . |
Syntaxe
Une ou plusieurs sources peuvent être autorisées pour cette directive :
Content-Security-Policy: connect-src <source>;
Content-Security-Policy: connect-src <source> <source>;
Sources
<source>
peut être n'importe quelle valeur parmi celles énumérées dans l'article sur les valeurs sources CSP (en-US).
On notera que cet ensemble de valeurs peut être utilisé pour toutes les directives de récupération (et pour certaines autres directives (en-US)).
Exemples
Cas de violation
Soit cet en-tête CSP :
Content-Security-Policy: connect-src https://example.com/
Les connexions suivantes seront bloquées et ne se chargeront pas :
<a ping="https://not-example.com">
<script>
let xhr = new XMLHttpRequest();
xhr.open('GET', 'https://not-example.com/');
xhr.send();
let ws = new WebSocket("https://not-example.com/");
let es = new EventSource("https://not-example.com/");
navigator.sendBeacon("https://not-example.com/", { ... });
</script>
Spécifications
No specification found
No specification data found for http.headers.csp.Content-Security-Policy.connect-src
.
Check for problems with this page or contribute a missing spec_url
to mdn/browser-compat-data. Also make sure the specification is included in w3c/browser-specs.
Compatibilité des navigateurs
BCD tables only load in the browser
Notes de compatibilité
- Avant Firefox 23,
xhr-src
était utilisé en lieu et place de la directiveconnect-src
et ne s'appliquait qu'à l'APIXMLHttpRequest
.
Voir aussi
Content-Security-Policy
<a>
et l'attributping
fetch()
XMLHttpRequest
WebSocket
EventSource