Csp on Commentary of Takao

Hugo 2026: Mejores prácticas con CSP

Fri, 05 Jun 2026 00:00:00 +0900

Content Security Policy (CSP) es esencial para la seguridad. Hugo 2026 ofrece nuevas capacidades para integrar CSP sin sacrificar funcionalidad.

CSP en sitios estáticos

Los sitios estáticos tienen menos vectores de ataque pero aún necesitan CSP para scripts de terceros, analytics y widgets embebidos.

Generación de nonces

Hugo puede generar nonces únicos por build para scripts inline. Configuración via template functions. Integración con partials.

Hash para scripts estáticos

Calcula hashes SHA de scripts embebidos. Incluye en la cabecera CSP. Hugo puede automatizar esto con pipe functions.

CSP Report-Only: Implementación segura de Content Security Policy

Fri, 15 May 2026 00:00:00 +0900

Content-Security-Policy-Report-Only permite probar políticas de seguridad sin bloquear recursos. Ideal para implementación gradual.

Diferencia con CSP

CSP normal bloquea violaciones. CSP-Report-Only solo reporta. Usa ambas en paralelo: una activa y otra para nuevas reglas.

Reportes

Content-Security-Policy-Report-Only: script-src 'self'; report-uri /csp-endpoint

Los reportes JSON contienen: document-uri, violated-directive, blocked-uri, source-file.

Endpoints de reporte

Servidor propio que captura POST. report-to (nuevo) en lugar de report-uri (obsoleto). Servicios como Report URI, Sentry.

Flujo de adopción

Report-Only vigilando. 2. Identificar violaciones legítimas. 3. Ajustar política. 4. Migrar a CSP real. 5. Repetir hasta sin reportes.

CSP strict-dynamic: La mejor defensa contra XSS

Sun, 15 Jun 2025 00:00:00 +0900

La directiva strict-dynamic de CSP cambia la forma de aplicar políticas de seguridad. En lugar de listar dominios permitidos, confía en scripts que fueron cargados por scripts legítimos.

Problema con listas blancas

Las listas de URLs permitidas son difíciles de mantener y pueden incluir CDNs comprometidas o bibliotecas con vulnerabilidades.

Cómo funciona strict-dynamic

Si un script tiene un nonce o hash válido, puede cargar otros scripts del mismo origen. La confianza se propaga del script inicial a sus dependencias.