Mengelola kebijakan keamanan konten situs Anda

CSP (Kebijakan Keamanan Konten) adalah lapisan keamanan ekstra yang membantu mendeteksi dan mengurangi beberapa jenis ancaman web seperti pencurian data, perusakan situs, atau distribusi malware. CSP menyediakan seperangkat petunjuk kebijakan lengkap yang membantu mengontrol sumber daya yang diizinkan untuk memuat halaman situs. Setiap petunjuk menentukan pembatasan untuk jenis sumber daya yang spesifik.

Bila CSP diaktifkan untuk situs Power Pages, maka CSP akan membantu membuat situs lebih aman dengan memblokir sambungan, skrip, font, dan jenis sumber daya lain yang berasal dari sumber yang tidak dikenal atau yang berbahaya.

CSP dinonaktifkan secara default. Namun, situs web mungkin memerlukan CSP untuk meningkatkan keamanan lainnya.

Gunakan aplikasi Portal Management untuk CSP.

Atur CSP situs Anda

1. Masuk ke Power Pages dan Buka situs Anda untuk diedit.

2. Di panel sisi kiri, pilih Item lainnya (...) >Portal Management.

3. Di panel sisi kiri aplikasi manajemen portal, pilih pengaturan situs.

4. Membuat atau mengedit pengaturan situs HTTP/Content-Security-Policy.

5. Atur nilai yang Anda perlukan dari referensi CSP, dipisahkan oleh titik koma; misalnya, script-src 'self' https://js.example.com;style-src 'self' https://css.example.com

Aktifkan nonce

Nonce mewakili kode, biasanya angka, yang dimaksudkan untuk digunakan hanya sekali ("angka sekali"). Jika anda menggunakan nonce dengan CSP situs Anda, kode kriptografis unik dibuat dan ditambahkan ke setiap skrip yang ditentukan pada header CSP. Hanya skrip inline yang memiliki atribut nonce yang cocok dengan skrip di CSP yang dibolehkan untuk dijalankan. Skrip yang mungkin diinjeksi oleh seorang penyerang pada halaman diblokir karena tidak menyertakan atribut nonce. Pelajari lebih lanjut menggunakan nonce dengan CSP.

Di situs Power Pages, nonce mendukung skrip inline dan penanganan aktivitas inline saja.

Untuk mengaktifkan nonce untuk situs Anda, tambahkan nilai skrip-src 'nonce'; ke pengaturan situs HTTP/Content-Security-Policy. Beberapa contoh seperti berikut ini.

• Jika Anda menginginkan kebijakan tegas yang tidak mengizinkan skrip memuat dari sumber di luar situs Power Pages, tambahkan nilai berikut ke pengaturan situs HTTP/Content-Security-Policy: script-src 'self' content.powerapps.com 'nonce'

• Jika Anda ingin memuat skrip dari sumber aman mana pun, tambahkan nilai berikut: script-src https: 'nonce'

Bila nonce diaktifkan, unsafe-eval diinjeksi untuk mendukung evaluasi otomatis kode tidak aman. Untuk menonaktifkan injeksi otomatis unsafe-eval, ubah pengaturan situs HTTP/Content-Security-Policy/Inject-unsafe-eval ke False. Perlu diketahui bahwa jika injeksi unsafe-eval dinonaktifkan, validasi bidang yang dihasilkan secara otomatis pada formulir dasar atau multilangkah mungkin tidak lagi berfungsi dengan benar.