배포 전에 Content-Security-Policy 헤더 분석하기

문제 상황

Content-Security-Policy는 하나의 단순한 허용 목록이 아닙니다. 응답에는 시행 필드, Report-Only 필드, 쉼표로 구분된 여러 정책, 애플리케이션·리버스 프록시·CDN이 각각 추가한 반복 필드가 함께 있을 수 있습니다. 정책 하나에서는 같은 이름의 첫 directive가 유효하고 뒤의 중복은 무시되지만, 서로 다른 정책의 제한은 누적 적용됩니다. unsafe-inline 같은 토큰도 유효 directive, nonce나 hash, strict-dynamic, 브라우저 호환성 문맥 없이 단정적으로 채점할 수 없습니다. 긴 헤더 문자열만 보고 수정하면 실제로 차단하지 않은 정책을 느슨하게 만들거나, 브라우저가 무시하는 중복을 편집하거나, 다른 경로의 실패를 해결하려고 광범위한 source를 허용할 수 있습니다. 제대로 된 검토는 최종 배포 응답을 캡처하고, 불필요한 비밀값을 제거하고, 정확한 CSP 필드 하나를 파싱하고, 결과를 브라우저 위반과 연결하고, 영향을 받는 경로와 리소스 종류를 시험한 뒤 설정 전파 후 엣지 응답을 다시 캡처해야 합니다.

공식 출처와 표준

다음 공식 문서는 이 작업 흐름에서 다루는 형식과 보안 경계의 기준입니다. 도구별 실행 검증은 위에 별도로 기록합니다.

• Content Security Policy Level 3

  World Wide Web Consortium (W3C)

이럴 때 사용하세요

• 콘솔이나 CSP 보고서가 차단된 script, image, font, frame, worker, form action 또는 API 연결을 가리킬 때
• Content-Security-Policy-Report-Only 후보를 시행 정책으로 바꾸려 할 때
• 애플리케이션, 프록시와 CDN이 중복 필드나 directive를 추가할 가능성이 있을 때
• nonce, hash, strict-dynamic, wildcard, data:, blob: 또는 HTTP source를 문맥에 맞게 검토해야 할 때
• 출시 체크리스트에 최종 배포 응답의 변경 전후 증거가 필요할 때

단계

1. 1단계

   마지막 응답 필드 캡처

   문제가 발생한 정확한 경로를 DevTools에서 열거나 응답 하나에는 curl -I, redirect가 중요하면 curl -IL을 사용합니다. CDN과 리버스 프록시가 수정한 뒤의 마지막 Content-Security-Policy 또는 Content-Security-Policy-Report-Only 필드를 복사합니다.

2. 2단계

   공유 전 캡처 최소화

   CSP 필드 이름과 쉼표·세미콜론을 포함한 전체 값은 유지합니다. 쿠키, Authorization, 서명된 report endpoint 매개변수, 검토에 필요 없는 내부 hostname과 다른 응답 헤더는 제거합니다.

3. 3단계

   정책과 첫 directive 파싱

   CSP 헤더 분석기에 CSP 필드 하나를 붙여넣습니다. 시행 상태, 정책 수, 인식·미인식 directive를 확인하고 중복 결과를 봅니다. 한 정책의 뒤쪽 중복은 앞의 값을 덮지 않습니다.

4. 4단계

   유효 문맥에서 source 해석

   nonce, hash, strict-dynamic과 더 구체적인 directive fallback을 고려해 unsafe-inline을 검토합니다. script·object wildcard를 의도된 image data:보다 우선 처리하고, 잘못되거나 레거시인 값은 이유를 확인한 뒤 수정합니다.

5. 5단계

   증상을 브라우저 증거와 연결

   위반을 만든 경로와 동작을 재현합니다. script·style 실패는 유효 fallback chain, API와 WebSocket은 connect-src, frame은 frame-src 또는 frame-ancestors, worker는 worker-src, 제출은 form-action과 연결합니다.

6. 6단계

   가장 좁은 정책 소유자 수정

   실제 유효 directive를 소유한 애플리케이션, 미들웨어, 프록시 또는 CDN 규칙을 수정합니다. 적절하면 nonce, hash, 정확한 신뢰 origin을 사용하고 출시 중 Report-Only 관찰을 유지하며 콘솔을 조용하게 하려고 광범위한 예외를 추가하지 않습니다.

7. 7단계

   경로 재시험과 엣지 재캡처

   지원 브라우저에서 정상·오류·인증·embed·worker·서드파티 흐름을 시험하고 위반량을 확인합니다. 캐시와 설정 전파 뒤 마지막 응답을 다시 캡처하고 정리된 변경 전후 필드를 출시 기록에 남깁니다.

예시

Content-Security-Policy: default-src 'self'; script-src 'nonce-AbCd12_-' 'strict-dynamic'; style-src 'self'; img-src 'self' https: data:; connect-src 'self' https://api.example.com; object-src 'none'; base-uri 'none'; frame-ancestors 'none'; report-to csp-endpoint

시행 상태: 시행
정책: 1
고위험 결과: 0
검토: img-src data:는 정보이며 이미지 동작상 필요성을 확인해야 합니다. 예시 nonce로 런타임 nonce 생성이나 요소 일치를 증명할 수 없습니다.

흔한 실수

자주 묻는 질문