مهاجرت به Reporting API v1

به دو روش می‌توان گزارش‌های نقض Content-Security-Policy را پیکربندی کرد:

• تنها با هدر CSP از طریق دستورالعمل report-uri . این از مرورگر گسترده ای در کروم، فایرفاکس، سافاری و اج پشتیبانی می کند. گزارش‌ها با application/csp-report نوع محتوا ارسال می‌شوند و فرمتی دارند که مختص CSP است. این گزارش ها "گزارش های سطح 2 CSP" نامیده می شوند و به گزارش API متکی نیستند .
• با گزارش API، از طریق هدر Report-To (میراث) یا Reporting-Endpoints جدیدتر (v1). این فقط در Chrome و Edge پشتیبانی می‌شود. فرمت درخواست‌های گزارش مانند سایر درخواست‌های Reporting API و همان نوع محتوا application/reports+json است.

استفاده از رویکرد اول (فقط report-uri ) دیگر توصیه نمی شود و استفاده از رویکرد دوم مزایای کمی دارد. به طور خاص، به شما امکان می‌دهد از یک راه واحد برای تنظیم گزارش برای همه انواع گزارش و همچنین تنظیم یک نقطه پایانی عمومی استفاده کنید (زیرا همه درخواست‌های گزارش ایجاد شده از طریق Reporting API⏤CSP و موارد دیگر⏤با فرمت یکسان application/reports+json هستند. application/reports+json

با این حال، فقط تعداد کمی از مرورگرها report-to پشتیبانی می کنند . بنابراین توصیه می‌شود report-uri در کنار رویکرد Reporting API ( Report-To یا بهتر، Reporting-Endpoints ) نگه دارید تا گزارش‌های نقض CSP را از چندین مرورگر دریافت کنید. در مرورگری که report-uri و report-to تشخیص می دهد، در صورت وجود report-to report-uri نادیده گرفته می شود. در مرورگری که فقط report-uri می شناسد، فقط report-uri در نظر گرفته می شود.

1. مرحله 1 (اکنون انجام دهید) : اگر هنوز آن را اضافه نکرده اید، report-to در کنار report-uri اضافه کنید. مرورگرهایی که فقط report-uri (Firefox) پشتیبانی می‌کنند، از report-uri استفاده می‌کنند و مرورگرهایی که report-to (Chrome، Edge) نیز پشتیبانی می‌کنند، report-to استفاده می‌کنند. برای مشخص کردن نقاط پایانی نام‌گذاری شده‌ای که در report-to استفاده می‌کنید، از هر دو سرصفحه Report-To و Reporting-Endpoints استفاده کنید. این تضمین می‌کند که گزارش‌هایی را از مشتریان قدیمی‌تر و جدیدتر Chrome و Edge دریافت می‌کنید.

2. مرحله 3 (زمان شروع): هنگامی که همه یا بیشتر کاربران شما به نصب های بعدی Chrome یا Edge (96 و بالاتر) به روز شدند، Report-To (v0) را حذف کنید و فقط Reporting-Endpoints نگه دارید. report-uri نگه دارید تا همچنان گزارش هایی برای مرورگرهایی که فقط از آن پشتیبانی می کنند دریافت کنید.

نمونه کد این مراحل را در انتقال گزارش CSP ببینید.

Report-To: { group: "main-endpoint", "endpoints": [ { "url": "https://reports.example/main" }] }, { group: "default-endpoint", "endpoints": [ { "url": "https://reports.example/default" }] }

Reporting-Endpoints: main-endpoint="https://reports.example/main", default="https://reports.example/default"
Report-To: { group: "main-endpoint", "max_age": 86400, "endpoints": [ { "url": "https://reports.example/main" }] }, { group: "default-endpoint", "max_age": 86400, "endpoints": [ { "url": "https://reports.example/default" }] }

Reporting-Endpoints: main-endpoint="https://reports.example/main", default="https://reports.example/default"

app.get("/", (request, response) => {
  response.set("Report-To", …)
  response.render(...)
});
app.get("/page1", (request, response) => {
  response.render(...)
});

// Use a middleware to set the reporting endpoint(s) for *all* requests.
app.use(function(request, response, next) {
  response.set("Reporting-Endpoints", …);
  next();
});

app.get("/", (request, response) => {
  response.render(...)
});

app.get("/page1", (request, response) => {
  response.render(...)
});

Content-Security-Policy: ...; report-uri https://reports.example/main

Content-Security-Policy: ...; report-uri https://reports.example/main; report-to main-endpoint
Report-To: main-endpoint="https://reports.example/main"

Content-Security-Policy: ...; report-uri https://reports.example/main; report-to main-endpoint
Reporting-Endpoints: main-endpoint="https://reports.example/main"
Report-To: ...