![\"Como](\"https:\/\/www.magenteiro.com\/blog\/wp-content\/uploads\/2020\/06\/Content_Security_Poilicy_Magento_2_CSP.jpg\")
<\/a>Fala-se que \u00e0 partir da vers\u00e3o 2.4 os avisos deixar\u00e3o de existir e tais requisi\u00e7\u00f5es ser\u00e3o bloqueadas<\/strong>.<\/p>\n\n\n\n Desta forma, a menos que tais fontes sejam adicionadas \u00e0 uma lista de exce\u00e7\u00e3o (whitelist), m\u00f3dulos de pagamento, scripts de integra\u00e7\u00e3o e v\u00e1rios outros recursos ter\u00e3o suas funcionalidades afetadas.<\/p>\n\n\n\n De uma forma ou de outra, tal mudan\u00e7a vem para o bem. Podemos nos antecipar e j\u00e1 preparar nossos m\u00f3dulos e lojas para esta mudan\u00e7a.<\/p>\n\n\n\n CSP, Content Security Policies<\/em>, ou Pol\u00edticas de Seguran\u00e7a de Conte\u00fado \u00e9 um recurso criado para evitar que scripts maliciosos sejam adicionados aos nossos sites<\/strong>. Desta forma, quando um ataque deste tipo \u00e9 feito, o script n\u00e3o conseguir\u00e1 ser adicionado com facilidade, a menos que ele esteja nesta lista de exce\u00e7\u00e3o<\/strong>.<\/p>\n\n\n\n Com isso, quando seu servidor\/site responde \u00e0 uma requisi\u00e7\u00e3o HTTP, um cabe\u00e7alho extra \u00e9 enviado, informando ao navegador quais fontes externas s\u00e3o permitidas para cada tipo de conte\u00fado e a\u00e7\u00e3o. Desta forma, alguns tipos de ataques podem ser evitados ou dificultados, tais como:<\/p>\n\n\n\n Este cabe\u00e7alho pode ser um Content-Security-Policy-Report-Only<\/a> (para apenas notificar) ou Content-Security-Policy<\/a> (para bloquear quem n\u00e3o estiver na lista). <\/p>\n\n\n\n A maioria dos navegadores j\u00e1 suportam tal recurso e est\u00e3o preparados para bloquear tais scripts.<\/p>\n\n\n\n O Magento 2.3.5 implementou o suporte \u00e0 tal recurso com o m\u00f3dulo O CSP pode funcionar de duas formas diferentes no seu Magento:<\/p>\n\n\n\n Como comentado, ainda na vers\u00e3o 2.3.5 o padr\u00e3o ser\u00e1 apenas reportar (report-only). Desta forma, poderemos ver o que ser\u00e1 bloqueado no futuro quando usarmos a configura\u00e7\u00e3o padr\u00e3o.<\/p>\n\n\n\n Uma vez configurado, o Magento pode obrigar pol\u00edticas como estas:<\/p>\n\n\n\n Os valores s\u00e3o salvos dentro de Quando o valor destas configura\u00e7\u00f5es \u00e9 1, o Magento apenas alertar\u00e1 sobre diverg\u00eancias. Se o valor for 0, as mesmas ser\u00e3o bloqueadas pelo navegador.<\/p>\n\n\n\n Por enquanto, o m\u00f3dulo Magento_Csp n\u00e3o possu\u00ed um arquivo system.xml, portanto n\u00e3o \u00e9 poss\u00edvel alterar estas configura\u00e7\u00f5es por linha de comando, pois o caminho de configura\u00e7\u00e3o ainda n\u00e3o foi definido.<\/p>\n\n\n\n Desta forma, a \u00fanica forma de alterar a configura\u00e7\u00e3o \u00e9 criando um m\u00f3dulo<\/a> e adicionando o arquivo \u00a0<\/p>\n\n\n Para verificar se os valores tiveram efeito, acesse a p\u00e1gina inicial da sua loja, e inspecione a aba de Rede. Localize qual cabe\u00e7alho est\u00e1 sendo usado. <\/p>\n\n\n\n Se quiser apenas ver como sua loja seria impactada, mantenha o modo como report-only (1) e adicione um URL de log no seu config.xml acima. Voc\u00ea pode usar o Webhook.site<\/a> se preferir.<\/p>\n\n\n\n <\/p>\n\n\n\n Desta forma, toda URL que for bloqueada no futuro, ser\u00e1 logada. Ap\u00f3s fazer isso, navegue na loja e depois verifique quais URL’s precisam de sua aten\u00e7\u00e3o.<\/p>\n\n\n\n Semana passada tive um cliente que come\u00e7ou a usar o CSP em modo de restri\u00e7\u00e3o. Com isso, o meu m\u00f3dulo de integra\u00e7\u00e3o com o PagSeguro<\/a> parou de ser exibido em sua loja, afinal ele chama JavaScripts externos. Na aba de rede pod\u00edamos ver o bloqueio (blocked:csp). <\/p>\n\n\n\n Tudo que precisei fazer foi ler os tipos de restri\u00e7\u00e3o e URL’s que estavam sendo barrados no console do navegador e adicion\u00e1-los \u00e0 uma lista de exce\u00e7\u00e3o dentro do pr\u00f3prio m\u00f3dulo, em etc\/csp_whitelist.xml<\/strong>.<\/p>\n\n\n\nO que \u00e9 isso?<\/h2>\n\n\n\n
<\/figure>\n\n\n\nCSP no Magento 2<\/h2>\n\n\n\n
Magento_Csp<\/code>. Uma s\u00e9rie de configura\u00e7\u00f5es padr\u00e3o foram adicionadas no n\u00edvel de aplica\u00e7\u00e3o e para alguns m\u00f3dulos do core do Magento. As pol\u00edticas podem ser configuradas exclusivamente na \u00e1rea de adminhtml<\/em> ou de frontend<\/em>, e tamb\u00e9m podem ser configuradas em p\u00e1ginas espec\u00edficas.<\/p>\n\n\n\nConfigura\u00e7\u00e3o CSP Padr\u00e3o<\/h2>\n\n\n\n
Alterando e checando a configura\u00e7\u00e3o atual<\/h2>\n\n\n\n
default\/csp\/mode\/admin\/report_only<\/code> e default\/csp\/mode\/storefront\/report_only<\/code> para \u00e1rea administrativa e frontend especificamente.<\/p>\n\n\n\netc\/config.xml<\/code> abaixo nele:<\/p>\n\n\n<?xml version="1.0"?>\n<config xmlns:xsi="http:\/\/www.w3.org\/2001\/XMLSchema-instance" xsi:noNamespaceSchemaLocation="urn:magento:module:Magento_Store:etc\/config.xsd">\n <default>\n <csp>\n <mode>\n <storefront>\n <report_only>0<\/report_only>\n <\/storefront>\n <admin>\n <report_only>0<\/report_only>\n <\/admin>\n <\/mode>\n <\/csp>\n <\/default>\n<\/config><\/pre>\n
<\/figure>\n\n\n\nTestando e logando<\/h2>\n\n\n\n
<?xml version="1.0"?>\n<config xmlns:xsi="http:\/\/www.w3.org\/2001\/XMLSchema-instance" xsi:noNamespaceSchemaLocation="urn:magento:module:Magento_Store:etc\/config.xsd">\n <default>\n <csp>\n <mode>\n <storefront>\n <report_only>1<\/report_only>\n <report_uri>https:\/\/webhook.site\/9669be18-783e-491c-a825-c0fa083072fe<\/report_uri>\n <\/storefront>\n <admin>\n <report_only>1<\/report_only>\n <\/admin>\n <\/mode>\n <\/csp>\n <\/default>\n<\/config>\n<\/pre>\n
<\/a><\/figure>\n\n\n\nLiberando dom\u00ednios espec\u00edficos em seu m\u00f3dulo<\/h2>\n\n\n\n
<\/figure>\n\n\n\n