قد يوقف تعديل Content Security Policy نموذج التواصل أو وسيلة دفع تعتمد على مصدر خارجي. وقد تسمح سياسة واسعة بكل شيء فتضيف عنوان حماية دون فائدة مقصودة. تطبيق CSP يحتاج معرفة الموارد الضرورية للموقع واختبار الرحلات التجارية، ثم انتقالًا مدروسًا من المراقبة إلى فرض السياسة.
احصر الموارد بحسب وظائفها
جهز قائمة بالبرامج النصية والخطوط والصور والاتصالات والإطارات التي يستخدمها الموقع. اربط كل مصدر بوظيفة وصاحب قرار: خريطة فرع، محادثة دعم، تحليلات، أو دفع. لا تنسخ نطاقات من سجل المتصفح إلى قائمة سماح دائمة دون معرفة سبب وجودها؛ قد تأتي بعض الطلبات من إضافات المتصفح أو أدوات التطوير.
اختبر صفحات فعلية وحالات مختلفة: زائر جديد، مستخدم مسجل، نموذج ناجح وآخر فاشل. وثق مصادر بيئة الاختبار والإنتاج بشكل منفصل، لأن السماح بعنوان تجريبي قد يخفي نقصًا في إعداد نسخة الإطلاق أو يضيف صلاحية غير لازمة.
افهم حدود وضع المراقبة
توضح وثائق MDN لترويسة Report-Only أنها تراقب مخالفات السياسة دون فرضها. وإذا كانت هناك سياسة CSP مفروضة بالفعل، فإنها تظل مطبقة؛ إضافة وضع المراقبة لا تلغيها. لا تعرض مرحلة Report-Only على أنها حماية تمنع المخالفات، فهي مرحلة لجمع أدلة تساعد على اختيار سياسة مناسبة.
اتفق على كيفية استقبال التقارير في المتصفحات المستهدفة وحدود حجمها والاحتفاظ بها. لا تفترض أن غياب التقارير يثبت نجاح جميع الرحلات؛ قد لا تصل تقارير بعض العملاء، وقد تكون وظيفة نادرة لم تُستخدم خلال نافذة المراقبة.
راجع المخالفات مع سيناريوهات العمل
| الرحلة | اختبار القبول |
|---|---|
| إرسال نموذج | وصول الطلب وظهور رسالة النجاح أو الخطأ |
| دفع تجريبي معتمد | عمل الإطار والعودة للموقع ضمن بيئة المزود التجريبية |
| واجهة عربية وإنجليزية | تحميل الخطوط والموارد المطلوبة لكل واجهة |
| مصدر غير متوقع | تحديد السبب قبل إضافته للسماح |
في مثال افتراضي، تظهر مخالفة لاتصال خارجي أثناء فتح صفحة تواصل. قارنها بسيناريو مضبوط في متصفح نظيف، ثم راجع الفريق الذي أضاف المكون. أصلح الاستدعاء غير اللازم، أو اسمح بالمصدر المطلوب وفق أقل نطاق عملي، بدل إزالة القيد كله لإخفاء التنبيه.
انتقل للفرض مع خطة رجوع
جهز نسخة السياسة المرشحة ونتائج الاختبار وطريقة الرجوع، ثم طبقها تدريجيًا في النطاق الذي تسمح به بنية المشروع. أعد اختبار الرحلات الحرجة بعد النشر وراقب الأخطاء وتجربة المستخدم. لا تسجل محتوى نماذج العملاء داخل تقارير تشخيص متاحة للجميع.
ضمن تطوير المواقع والمتاجر اجعل السياسة جزءًا من تسليم الموارد الخارجية. وتساعد المراجعة التقنية على ربط المخالفة بالوظيفة بدل التعامل معها كقائمة نطاقات فقط. نجاح النشر يعني أن السياسة المقصودة تُفرض والرحلات الأساسية تعمل، مع دليل قابل للمراجعة؛ ولا يغني CSP عن معالجة أسباب الثغرات في التطبيق نفسه.
