У мене магазин працює з останньою версією Magento (на даний момент 2.1.1), і я намагаюся покращити безпеку за допомогою політики безпеки вмісту на Apache 2.4.7 (Ubuntu 14.04). Я видалив увесь тег <<script> "зі сторінок вмісту та створив розділені files.js.
Щодо безпеки Apache, я встановив:
Набір заголовків Політика безпеки-вмісту "default-src" self ""
Однак це не працює. Здається, сам Magento додав кілька тегів "<script>". Приклад із перших джерельних рядків:
<! doctype html>
<html lang = "pt-BR">
<head>
<script>
var
Requ = { "baseUrl": " http://example.com/pub/static/frontend/Magento/luma/pt_BR "
}; </ script>
Тож мені здається, що для налаштування CSP я повинен увімкнути "небезпечний вбудований", який не є реальним безпечним.
Набір заголовків: Content-Security-Policy "default-src 'self" script-src' self '' unsafe-inline '' unsafe-eval '".
Хтось знає, як правильно встановити Magento з CSP? Дякую!