Policy di protezione dei contenuti

La policy di protezione dei contenuti consente di limitare gli script e le risorse che possono essere eseguiti nel tuo sito Web. Puoi, ad esempio, utilizzare la policy di protezione dei contenuti per bloccare l’esecuzione di script esterni nel tuo sito Web.

L’utilizzo della policy di protezione dei contenuti non è consigliato con Adobe Fonts

Sebbene sia possibile utilizzare nella stessa pagina una policy di protezione dei contenuti con i Web Fonts di Adobe, questa soluzione non è consigliata.  La policy di protezione dei contenuti non consente di impostare un’eccezione per gli stili inline aggiunti dallo script di un dominio specifico. Se specifichi un'eccezione unsafe-inline per gli stili, si applicherà a tutti gli stili di tutti i domini.

Adobe Fonts utilizza stili inline e font come URI di dati per fornire il servizio, e creare eccezioni per questi vanifica gran parte della protezione offerta da una CSP. 

Utilizzo di una policy di protezione dei contenuti

Se desideri utilizzare una policy di protezione dei contenuti, segui le istruzioni qui riportate per configurare correttamente le direttive di sicurezza. Presta attenzione, poiché il mancato rispetto di tutte queste istruzioni può risultare in una violazione involontaria delle Condizioni d’uso del servizio per i Web Fonts.

1. La prima direttiva è quella di consentire agli script di caricarsi dal CDN, use.typekit.net:

   script-src 'self' use.typekit.net;

2. Devi quindi consentire i fogli di stile da use.typekit.net e specificare unsafe-inline per consentire agli script di tutti i domini (incluso use.typekit.net) di utilizzare gli stili inline. Questo è richiesto per consentire il funzionamento degli eventi di font.

   style-src 'self' 'unsafe-inline' use.typekit.net;

3. Il requisito finale è un’eccezione per le immagini da p.typekit.net. Il caricamento dei font utilizza un’immagine di tracking da questo dominio per calcolare l’utilizzo dei font e determinare, di conseguenza, il pagamento appropriato per le foundry dovuto per l’uso dei loro font.

   img-src 'self' p.typekit.net;

4. Facoltativamente, puoi aggiungere un’eccezione per le nostre metriche sulle prestazioni. Le metriche sulle prestazioni sono inviate a intervalli casuali e sono utilizzate per monitorare le prestazioni della rete di font.

   connect-src performance.typekit.net

Queste direttive devono essere combinate in un unico criterio e devi configurare l’intestazione Content-Security-Policy in tutte le risposte HTTP(S). Per supportare le versioni precedenti di Chrome, Firefox e Safari, dovrai anche includere le intestazioni X-Content-Security-Policy e X-WebKit-CSP. Per ulteriori informazioni, consulta le specifiche della policy di protezione dei contenuti di W3C.