HTTP hlavičky a Content Security Policy - CSP možnosti nastavení

Téma HTTP hlavičky a Content Security Policy (CSP) je zajímavé www.joomlaportal.cz/tipy/joomla-4-a-bezp...tent-security-policy

Jaké máte zkušenosti?

Já tohle nasazuji na weby a eshopy již 4 roky (takže článek nic nového neobjevuje, to jen Joomla trochu zaspala a zkušenosti mám dobré.
Ale není to jednoduché správně nastavit.

Článek objevuje, že Joomla 4 integruje do jádra novou velmi užitečnou funkci. image missing /media/kunena/emoticons/smile.png Ano, není to snadné nastavit, proto je dobré dbát doporučení na konci v článku.

Při nastavení .htaccess tak, aby se mi zobrazilo A, přestaly některé části na serveru fungovat. Např. iframe. Typicky iframe v modalu, např. zobrazení mapy pro výběr Markeru v administraci Phoca Maps:






Atd.

Viz článek www.joomlaportal.cz/tipy/joomla-4-a-bezp...tent-security-policy
Pokud ale CSP teprve začínáte, můžete požádat prohlížeč, aby sledoval zásady, hlásil porušení, ale nevynucoval omezení.... chce to odladit.

Již delší dobu řeším v .htaccess, nastavit, zejména Content-Security-Policy je opravdu velká věda a bohužel nelze nastavit "nějak obecně" pro všechny weby. Plugin nastaví jakýsi základ, ale stejně vše podstatné se pak nastavuje v rámci ručního zadávání pravidel... 
Pro mně je to hlavně asi upozornění, že plugin je v základu povolen, tzn. budu ho vypínat, aby se mi to netlouklo s pravidly v .htaccess. Myslím, že většina uživatelů Joomly nechá plugin nastavený tak jak je v základu a řešit dál nebude.

CSP i HSTS je v základu vypnuté.