Política de seguridad de contenido

La Política de seguridad de contenido (CSP) está destinada a limitar los scripts y recursos que se permiten en su sitio web. Por ejemplo, puede usar una CSP para interrumpir la ejecución de scripts externos en su sitio web.

Si bien es posible utilizar una CSP con fuentes web de Adobe en la misma página, no recomendamos esta práctica.  La política CSP no le permite establecer una excepción para los estilos alineados que se hayan añadido mediante el script de un dominio específico. Si crea una excepción con la palabra clave “unsafe-inline” para permitir estilos alineados, se aplicará a cada uno de los estilos de todos los dominios.

Adobe Fonts utiliza estilos y fuentes en formato de líneas como URI de datos para prestar nuestro servicio y la creación de excepciones para estos hace que se ignore en gran medida la protección que ofrece una CSP. 

Cómo usar una CSP

Si decide utilizar una CSP, siga las siguientes instrucciones para crear sus directivas de seguridad correctamente. Le advertimos de que tenga cuidado, ya que si no se atiene a estas indicaciones podría producirse un incumplimiento involuntario de las Condiciones de uso del servicio de fuentes web.

1. La primera directiva se basa en permitir que los scripts se carguen desde nuestra red de distribución de contenido (CDN), use.typekit.net:

   script-src 'self' use.typekit.net;

2. A continuación, debe permitir las hojas de estilo de use.typekit.net e incluir la palabra clave “unsafe-inline” para permitir que los scripts de todos los dominios (incluido use.typekit.net) puedan usar estilos alineados. Esto es necesario para que los eventos de fuentes puedan funcionar.

   style-src 'self' 'unsafe-inline' use.typekit.net;

3. El requisito final es añadir una excepción para las imágenes de p.typekit.net. Al cargar las fuentes, se utiliza una imagen de seguimiento de este dominio para analizar el uso de las fuentes y pagar lo correspondiente a los creadores de tipografías por el uso de sus fuentes.

   img-src 'self' p.typekit.net;

4. Si lo prefiere, puede añadir una excepción para nuestros indicadores de rendimiento. Los indicadores de rendimiento se envían a intervalos aleatorios y se utilizan para llevar un control del rendimiento de nuestra red de fuentes.

   connect-src performance.typekit.net

Debe combinar estas directivas en una sola política e incluir el encabezado Content-Security-Policy en todas las respuestas HTTP(S). Para garantizar la compatibilidad con versiones anteriores de Chrome, Firefox y Safari, además deberá incluir los encabezados X-Content-Security-Policy y X-WebKit-CSP. Para obtener más información, consulte la especificación W3C CSP.