Применение ЦСП в каркасном домостроении
У каркасного дома из ЦСП есть плюсы и минусы, которые нужно учесть при строительстве и отделке. Однако минусов в разы меньше, чем плюсов. Это делает ЦСП достойным конкурентом ориентированно-стружечных плит, которые содержат вредные смолы, практически не пропускают воздух.
Павел Усманов
Архитектор
Содержание
- Что такое ЦСП?
- Нюансы строительства домов из цементно-стружечной плиты:
- Лучший фундамент для каркасника из ЦСП:
- Какие виды отделки подходят?
- Отделка дома внутри:
- Отделка дома снаружи:
Несмотря на различные противоречивые мнения, каркасные дома из ЦСП строятся и строятся достаточно активно. Каркасные сооружения возводятся намного быстрее, чем аналогичные постройки из других материалов, не требуют сложного и дорогостоящего фундамента и в целом имеют множество преимуществ. У нас вы можете найти множество интересных проектов каркасных домов на любой вкус, задачу и бюджет. Для вас представлены как варианты небольших дачных домиков, так и просторных коттеджей для постоянного проживания.
Покупка готового профессионального проекта – это первый шаг к долговечному и надежному строению. При самостоятельном его составлении можно допустить ошибки (к примеру, не продумать прокладку коммуникаций или размещение смежных комнат), которые потом будет очень сложно исправить. Наши проекты каркасников выполнены опытным архитектором, а потому вы можете быть полностью уверены в их качестве. И еще один важный момент: если вы не до конца уверены в уровне своих навыков, работы по возведению тоже стоит доверить квалифицированным мастерам, которые в самые короткие сроки построят дом из ЦСП, который будет радовать вас не один десяток лет без проведения регулярных ремонтных работ
Что такое ЦСП?
ЦСП – это цементно-стружечные плиты многослойного типа, которые очень востребованы в современном строительстве. Производятся они при сочетании дробленой древесной стружки и цемента. Причем в полученную массу добавляются специальные реагенты, которые повышают устойчивость материала к различным внешним нагрузкам. Изготовление ЦСП возможно только в условиях цеха и при помощи специализированного оборудования.
Это абсолютно негорючий материал, что дает ему большое преимущество в случае пожара. Также он полностью экологичен и безопасен для человеческого организма и окружающей среды. В нем отсутствуют формальдегидные, фенольные и другие токсические вещества.
Фото 1. Состав цементно-стружечной плиты
Цементно-стружечные изделия не подвержены гниению, возникновению плесени и развитию патогенных микроорганизмов, что существенно продлевает сроки службы вашего дома и позволяет использовать подобные постройки даже в местах с повышенным уровнем влажности. В то же время, в таких строениях поддерживается оптимальный микроклимат и естественный уровень вентиляции.
Помимо этого, дом из ЦСП достаточно легко построить. Плиты достаточно гибкие, поэтому поддаются под практически любую технологию. Хоть мы и не советуем заниматься строительством самостоятельно – справиться с ними можно, если вы имеете базовые навыки.
Фото 2. ЦСП плиты
ЦСП в домостроении обеспечивает максимальную защиту и обладает очень низкой теплопроводностью, поэтому они ничем не хуже популярных стружечных плит. Даже строения из того же кирпича не такие надежные, какими кажутся. Плиты в этом плане выигрывают, ведь они не требуют дополнительной внешней защиты и не подвержены разрушительному воздействию влажности.
За счет множества полезных свойств, цементно-стружечные плиты можно использовать не только в качестве облицовки, но и как полноценный основной отделочный материал. Сроки службы у них очень высокие: это минимум 70 лет даже на фасаде без навеса.
Сфера применения ЦСП также очень широкая: это обшивка стен, как внутри, так и снаружи.
Фото 3. ЦСП в строительстве каркасного дома
Нюансы строительства домов из цементно-стружечной плиты:
Конечно, как и в случае с любым другим материалом, при работе с цементно-стружечными плитами тоже существуют свои определенные нюансы, которые необходимо учитывать для достижения наиболее качественного результата.
- Между панелями обязательно наличие деформационного шва не менее 3 мм (зависимо от размера, для большего размера плит необходимо оставлять 8 мм во внешней отделке или 5 мм во внутренней). Это объясняется тем, что в составе ЦСП имеет древесную стружку, которая при определенных изменениях влажности и температуры может менять свои размеры. Чтобы избежать деформации – необходимо устанавливать материал — не встык.
- Еще один важный нюанс – это ломкость. Сами плиты очень прочные и при эксплуатации они способны выдерживать различные нагрузки, но при неправильном их поднятии они могут сломаться из-за собственного веса.
Поэтому на объекте для их установки всегда необходимо использовать лебедку или веревку с блоком, при этом вертикально располагая лист во избежание его поломки. Для тех, кто после начал сомневаться в надежности панелей ЦСП, спешим внести ясность: после непосредственной установки по правильной технологии обшивка будет вести себя совершенно иначе, имея достаточно высокий уровень прочности и жесткости.
- В каком месте будет установлен крепеж – также не менее важно. При самостоятельном строительстве домов используются абсолютно разные виды метизов, начиная от гвоздей, заканчивая шурупами и саморезами. Главное, чтобы крепеж не устанавливался близко к краю плиты (не менее 1 сантиметра), чтобы избежать отламывания этого самого края и ненадежного крепления панели в итоге.
- Плиты из древесной стружки и цемента, как правило, идеально гладкие и обладают безукоризненной поверхностью. Но и тут можно столкнуться с проблемой: при нанесении штукатурки может быть плохая адгезия (проще говоря сцепление с поверхностью).
Но решается это проблема достаточно просто: при помощи грунтовки и армирующей сетки.
- Также намного удобнее сначала произвести обшивку каркасника, а окна устанавливать уже после, потому что подгонять оконные проемы достаточно тяжело и энергозатратно.
- При самостоятельном строительстве каркасного дома с обшивкой из ЦСП невозможно получить полную гарантию качества, поэтому лучше если этим делом займется профессионал с определенным уровнем навыков, умений и опытом.
Фото 4. Обшивка каркасного дома ЦСП плитами
Лучший фундамент для каркасника из ЦСП:
Вес подобных построек значительно ниже, чем вес блочных или бетонных домов, а потому они имеют очень широкий выбор фундамента. Как правило, сложный и дорогостоящий фундамент им не требуется: можно обойтись и без него, чем существенно сэкономить финансовые средства. Но конечно, все зависит от конкретного проекта дома из ЦСП с каркасом. Ориентируйтесь на свои индивидуальные предпочтения, бюджет, общий вес строения, размеры, этажность дома и тип грунта на участке.
Если вы желаете сэкономить – можно выбрать комбинированный или свайно-винтовой фундамент, который несмотря на противоречия среди мнений, тоже подходит достаточно хорошо. Если планируется строительство подвала – остановите свой выбор на заглубленном ленточном фундаменте. В любом случае рекомендуем решать этот вопрос, ориентируясь на ваш проект и при разговоре со специалистом.
Фото 5. Полы из ЦСП в каркасной бане
Какие виды отделки подходят?
Бытует мнение, что при отделке плит из древесной стружки и цемента часто можно столкнуться с трудностями. Да, это так, при условии, что вы не обращаете внимание на специфику этих плит. Но, если знать об особенностях материала, ничего сложного в этом нет.
ЦСП обладает достаточно низким уровнем адгезии и гигроскопичности. Напомним, что адгезия – это сцепление вещества с поверхностью, а гигроскопичность – свойство материалов поглощать влагу из воздуха. Поэтому для нанесения шпаклевки или штукатурных составов существует отдельный способ отделки каркасника из ЦСП: необходим специальный грунт и армирующая сетка. А вот швы тоже не стоит оставлять без внимания: для их заполнения можно использовать штукатурку или декоративные элементы.
Фото 6. Цементно-стружечные плиты на полу
Отделка дома внутри:
Для того, чтобы грамотно подойти к внутренней отделке, необходимо учесть выбранный вами стиль интерьера. Покраске панели ЦСП поддаются достаточно легко за счет своей гладкой поверхности, главное – правильно заполнить швы и выбрать необходимый состав для нанесения.
Тут также стоит ориентироваться на ваши вкусы и бюджет. Более экономичный вариант – это покраска с заполнением швов акриловым герметиком, после чего они заклеиваются строительным бинтом и выравниваются при помощи шпаклёвочных составов.
Фото 7. Применение ЦСП плит в интерьере
Это убережет стены дома на каркасной основе обшитого цементно-стружечными панелями от трещин, но, если вас интересует более долгосрочная перспектива – есть способ подороже и понадежнее.
Зашивание стен при помощи ГКЛ. Причем здесь даже не нужно использовать обрешетку, ведь плиты достаточно гладкие. После этого можно нанести любое покрытие.
Или же самый экономный и не самый надежный способ – просто заклеить стены виниловыми плотными обоями, которые скроют все внутренние деформации.
Фото 8. Внутренняя отделка помещения ЦСП
Отделка дома снаружи:
- Чаще всего при отделке ЦСП панелей можно встретить имитацию фахверка. Рейки в этом случае скрывают швы, а все остальное покрывается красящими составами. Но этот стиль подойдет далеко не всем, ведь у него достаточно специфичный внешний вид
- Другой альтернативный вариант – вент. фасад. Да, это достаточно энергозатратно и требует проведения большого количества работ, но результат того определенно стоит.
- Также для заполнения швов используют эластичные мастики. Дальше покраска производится при помощи красок и акрилатных эмалей.
- Еще один распространенный способ – нанесение эластичной краски. Но как правило, он достаточно дорогостоящий, хоть и крайне надежный, предотвращающий любые трещины.
- Ну и наконец, можно просто обшить ЦСП сайдингом или другими листовыми материалами. На это также уйдет достаточно много времени и средств, но зато отлично подойдет для холодного климата. Под облицовку можно добавить дополнительную ветрозащиту и теплоизоляцию.
Фото 9. Фасад, обшитый ЦСП плитами
Подводя итоги хочется отметить, что все абсолютно индивидуально. Начать стоит с правильно подобранного проекта именно того дома, который вы хотите видеть на своем участке.
Все слухи о ненадежности и недолговечности домов с использованием цементно-стружечных панелей порождаются неграмотным и неправильным строительством, поэтому настоятельно советуем обратиться за помощью к профессионалам. В этом деле лучше подстраховаться и не экономить.
Плиты из древесной стружки и цемента очень крепкий материал, дом из которого прослужит вам очень долго. Заказывайте каркасное строительство у нас, в «Домостроительных технологиях Павла Усманова», и вы не останетесь разочарованными. Мы являемся неоспоримыми профессионалами своего дела с многолетним опытом в сфере строительства и отделки. Мы работаем строго по проекту с выполнением всех необходимых норм, а потому без сомнений даем длительные гарантии на проведение работ. Изучайте интересные проекты в каталоге. Задавайте вопросы нашим специалистам. Мы работаем для вас в Москве и Санкт-Петербурге!
Написать комментарий
Цементно-стружечная плита (ЦСП) | ГК Стройресурс
Цементно-стружечная плита — листовой строительный материал, состоящий из древесной стружи, гидратационных добавок, портландцемента, применяется для внутренних и наружных работ. Популярность ЦСП несколько ниже, чем гипсокартона, ОСП, фанеры, ДСП, несмотря на то, что по своим характеристикам она их превосходит. Связано это в первую очередь с тем, что активное производство началось только с конца 80-х годов 20 века.
Размеры
ЦСП производят в толщине от 8 до 36 мм, от этого показателя напрямую зависит область применения. Длина варьируется от 2700 до 3200 мм, ширина 1250 мм, 1200 мм. Допустимые отклонения по длине и ширине ± 3 мм, по толщине шлифованных плит ± 0,3 мм, нешлифованных от ± 0,6 до ± 1,4 мм.
Пожаробезопасность
По группе горючести цементно-стружечные плиты характеризуются категорией Г1 (слабогорючие), по степени воспламеняемости В1 (трудновоспламеняемые). Конструкции из таких материалов называются самозатухающиеся.
Влагостойкость
В отличии от более популярных листовых материалов, не боится влаги, не требует специальной дополнительной обработки или гидроизоляции, легко защитит строение от атмосферных воздействий, не деформируется. Разбухание при погружении в воду на 24 часа составляет не более 1,5%.
Паропроницаемость
Пористая структура материала обеспечивает высокие показатели паропроницаемости 0,03 мг/(м·ч·Па). Эта характеристика помогает стенам «дышать» и несет ответственность за благоприятный микроклимат в помещении.
Экологичность
ЦСП — экологически безопасный строительный материал, который можно использовать внутри помещений. Это возможно, потому что при производстве не добавляются фенольные, формальдегидные соединения или любые другие вещества, которые снижают экологическую безопасность.
Биостойкость
В ходе производства ЦСП дополнительно обрабатывается антисептиками, образовывается щелочная среда, которая противостоит появлению, развитию грибков и других микроорганизмов.
Морозостойкость
Термин означает способность материала выдерживать многократное замораживание, размораживание без дефектов и потери прочности. Морозостойкость цементно-стружечных листов 50 F (циклов). Учитывая смену времен года, эксплуатация ЦСП возможна в течение 50 лет даже в экстремальных климатических условиях.
Преимущества:
• Не выделяет пыль, пары, газ.
• Универсальность использования и широкая сфера применения.
• Высокая паропроницаемость.
• Экологическая безопасность, отсутствие фенолформальдегидов.
• Пожаробезопасность.
• Эксплуатация до 50 лет.
• Влагостойкость.
• Биостойкость.
• Высокая ударопрочность.
• Низкое температурное сопротивление.
• Изоляция от ударного шума.
• Стойкость к агрессивным биохимическим средам.
Недостатки:
• Сравнительно большой вес листа создает ряд трудностей при монтаже, транспортировке.
• Листы ЦСП не используются для формирования изогнутых архитектурных форм, так как обладают низкой прочностью на изгиб.
Область применения
Благодаря универсальности и огромному количеству преимуществ, цементно-стружечные плиты являются основным элементом следующих конструкций:
• Каркасное домостроение. Листы толщиной от 10 до 16 мм используются для обшивки стен внутри и снаружи помещений, в том числе в зонах повышенной сейсмической активностью.
• В системе вентилируемых фасадов до 3-х этажей применимы плиты толщиной от 8 до 12 мм.
• В качестве черновых полов по лагам или сборным стяжкам (от 12 мм).
• Устройство плоских кровель под наплавляемую рулонную гидроизоляцию.
• Интерьерные решения в стиле лофт или индастриал не требуют даже дополнительной отделки поверхности ЦСП.
• Так же возможно применение при устройстве заборов, садовых дорожек, для монтажа вентиляционных коробов, отделки путей эвакуации в зданиях.
Что такое политика безопасности содержимого (CSP) | Примеры заголовков
Что такое политика безопасности содержимого?
Политика защиты содержимого (CSP) — это стандарт безопасности, обеспечивающий дополнительный уровень защиты от межсайтового скриптинга (XSS), кликджекинга и других атак путем внедрения кода. Это защитная мера против любых атак, основанных на выполнении вредоносного контента в доверенном веб-контексте или других попытках обойти политику того же источника.
С помощью CSP вы можете ограничить, какие источники данных разрешены веб-приложением, определив соответствующую директиву CSP в заголовке ответа HTTP.
Политика безопасности содержимого оценивает и блокирует запросы на активы
Почему важна политика безопасности содержимого?
Смягчение межсайтовых сценариев
Основная цель CSP — смягчить и обнаружить атаки XSS. XSS-атаки используют доверие браузера к контенту, полученному с сервера. Браузер жертвы подвергается выполнению вредоносных скриптов, потому что браузер доверяет источнику контента.
CSP позволяет администраторам серверов уменьшать или устранять возможность злоумышленника запускать XSS, указывая, какие домены Интернета браузеры должны рассматривать как законные источники исполняемых скриптов. CSP-совместимые браузеры запускают только сценарии, содержащие исходные файлы, полученные из доменов из белого списка, и игнорируют все остальные сценарии (включая встроенный сценарий и атрибуты обработки событий HTML).
Предотвращение перехвата пакетов и принудительное использование HTTPS
Помимо внесения в белый список доменов, из которых браузер может загружать контент, серверы также могут указывать разрешенные протоколы. Например, сервер может указать, что браузеры должны загружать контент через HTTPS.
Комплексная политика защиты передачи данных включает не только реализацию HTTPS при передаче данных, но и пометку всех файлов cookie атрибутом безопасности и автоматическое перенаправление страниц HTTP на HTTPS. Кроме того, сайты могут использовать заголовки HTTP Strict-Transport-Security, чтобы браузеры подключались к сайту только через зашифрованные каналы.
Примеры заголовков CSP
Веб-сервер может добавлять к каждому ответу HTTP-заголовок Content-Security-Policy. В заголовке CSP можно установить следующие свойства:
- default-src — необязательный метод, если другие атрибуты не определены. В большинстве случаев значение этого свойства равнозначно тому, что браузер может загружать ресурсы только с текущего веб-сайта.
- script-src — адресов, из которых можно загружать внешние скрипты. Если ваш веб-сайт или приложение не использует сценарии на стороне клиента, установите значение none.
- img-src — местоположений, из которых можно получить изображения.
- media-src — местоположений, из которых можно извлечь мультимедийные данные, такие как видео.
- object-src — места, откуда можно получить плагины.
- manifest-src — расположение, из которых можно получить манифесты приложений.
- фрейм-предки — места, из которых можно загрузить другую веб-страницу с помощью фрейма, iframe, объекта, вставки или элемента апплета.
- form-action — URL-адреса, которые можно использовать как часть действия в теге
- plugin-types — набор подключаемых модулей, которые можно вызывать через объекты, встраивания или апплеты, определенные с помощью типов MIME.
- base-uri — разрешает URL-адреса в атрибуте src любого тега.
См. полный и актуальный список свойств от Mozilla.
Какие уязвимости может предотвратить CSP?
Одна из основных проблем, которую CSP может предотвратить, заключается в том, что злоумышленники могут попытаться получить доступ к вашим ресурсам по незащищенному протоколу.
Вы можете использовать CSP для принудительного применения протокола HTTPS к любому значению, определенному в атрибутах *-src, добавив префикс https:// к любому URL-адресу в вашем белом списке. Таким образом, ресурсы никогда не будут загружаться через незашифрованное HTTP-соединение. Вы можете добиться того же эффекта, добавив свойство block-all-mixed-content.
Кроме того, CSP может предотвратить следующие распространенные уязвимости:
- Неподписанные встроенные операторы CSS в тегах
- Неподписанный встроенный Javascript в тегах
- Динамический CSS с использованием CSSStyleSheet.
insertRule()
- Динамический код Javascript с использованием eval()
Лучше всего хранить сценарий и CSS в отдельных файлах,на которые ссылается HTML-страница.Если ваш сайт должен разрешить это,вы можете включить его,используя ключевые слова unsafe-eval и unsafe-inline.
Когда использовать CSP
Как правило,сложные веб-приложения более чувствительны к XSS,поэтому важно использовать CSP.
Используйте CSP для любого приложения,которое управляет конфиденциальными данными,такими как административные пользовательские интерфейсы,консоли управления устройствами или любые продукты,в которых размещаются файлы,документы или сообщения,созданные пользователями.В современных средах добавить CSP несложно,и это может обеспечить высокую окупаемость инвестиций с точки зрения дополнительной безопасности.
Когда не использовать CSP
CSP может быть не лучшим выбором в следующих случаях:
- Статические приложения,размещенные на собственных доменах или субдоменах без входа в систему или файлов cookie.
- Приложения,которые сталкивались с XSS в прошломили имеют известные уязвимости в шаблонах или платформах,которые они используют.В этом случае лучше всего инвестировать в исправление или исправление уязвимого кода,потому что CSP сам по себе не обеспечит достаточную защиту.CSP следует добавлять поверх защищенного приложения без известных уязвимостей.
Внедрение политики безопасности контента
Лучший способ добавить CSP задним числом ко всему веб-сайту — это определить полностью пустой белый список,по существу блокирующий все.Сначала запустите CSP только в режиме отчетов,что означает,что браузер оценивает правила,но еще не блокирует содержимое.
Затем вы можете просмотреть ошибки и посмотреть,какие из них должны быть добавлены в список(разрешены)или нет(запрещены).
Самое сложное — решить,сколько блокировать.Например,если вы используете сценарий,размещенный через CDN,и разрешаете адреса,вы принимаете весь трафик,поступающий из этих CDN,который может включать вредоносный трафик.
Запуск CSP в режиме отчетов в течение нескольких недель или,самое большее,нескольких месяцев должен выявить все возможные случаи ошибок.Когда вы почувствуете,что ваш набор правил охватывает все соответствующие варианты использования,отключите только отчеты и начните блокировать ресурсы,которых нет в белом списке.
Защита от XSS с помощью Imperva Application Security
Imperva обеспечивает расширенную защиту от межсайтового скриптинга,используя брандмауэр веб-приложений(WAF),облачное решение,которое разрешает законный трафик и предотвращает нежелательный трафик,защищая приложения на периферии.
Помимо защиты от XSS,Imperva обеспечивает многоуровневую защиту,чтобы обеспечить доступность,легкость и безопасность веб-сайтов и приложений.Решение по безопасности приложений Imperva включает в себя:
- Защита от DDoS-атак— поддержание бесперебойной работы в любых ситуациях.Предотвратите любой тип DDoS-атаки любого масштаба,препятствующий доступу к вашему веб-сайту и сетевой инфраструктуре.
- CDN— повысьте производительность веб-сайта и сократите расходы на пропускную способность с помощью CDN,предназначенной для разработчиков.Кэшируйте статические ресурсы на периферии,ускоряя API и динамические веб-сайты.
- Управление ботами— анализирует трафик ваших ботов для выявления аномалий,выявляет плохое поведение ботов и проверяет его с помощью механизмов проверки,которые не влияют на пользовательский трафик.
- Безопасность API— защищает API,гарантируя,что только желаемый трафик может получить доступ к вашей конечной точке API,а также обнаруживая и блокируя использование уязвимостей.
- Защита от захвата учетных записей— использует процесс обнаружения на основе намерений для выявления и защиты от попыток захвата учетных записей пользователей в злонамеренных целях.
- RASP— защитите свои приложения изнутри от известных атак и атак нулевого дня.Быстрая и точная защита без подписи или режима обучения.
- Аналитика атак— эффективно и точно устраняйте реальные угрозы безопасности и реагируйте на них с помощью действенной аналитики на всех уровнях защиты.
Политика безопасности содержимого(CSP)— HTTP
Content Security Policy(CSP)— это дополнительный уровень безопасности,который помогает обнаруживать и смягчать определенные типы атак,включая межсайтовый скриптинг(XSS)и атаки с внедрением данных.Эти атаки используются для всего:от кражи данных до порчи сайта и распространения вредоносных программ.
CSP спроектирован так,чтобы быть полностью обратно совместимым(за исключением CSP версии 2,где есть некоторые явно упомянутые несоответствия в обратной совместимости;подробнее здесь,раздел 1.1).Браузеры,которые его не поддерживают,по-прежнему работают с серверами,которые его реализуют,и наоборот:браузеры,которые не поддерживают CSP,игнорируют его,функционируя как обычно,по умолчанию применяя стандартную политику одного и того же источника для веб-контента.Если сайт не предлагает заголовок CSP,браузеры также используют стандартную политику того же источника.
Чтобы включить CSP,необходимо настроить веб-сервер для возврата HTTP-заголовкаContent-Security-Policy
.(Иногда вы можете увидеть упоминания о заголовкеX-Content-Security-Policy
,но это более старая версия,и вам больше не нужно ее указывать.)
В качестве альтернативы для настройки политики можно использовать элемент,например:
Предотвращение межсайтовых сценариев
Основная цель CSP — смягчить атаки XSS и сообщить о них.XSS-атаки используют доверие браузера к содержимому,полученному с сервера.Вредоносные скрипты выполняются браузером жертвы,потому что браузер доверяет источнику контента,даже если он исходит не оттуда,откуда кажется.
CSP позволяет администраторам серверов уменьшить или устранить векторы,по которым может происходить XSS,указав домены,которые браузер должен рассматривать как допустимые источники исполняемых скриптов.В этом случае браузер,совместимый с CSP,будет выполнять только сценарии,загруженные в исходные файлы,полученные из этих разрешенных доменов,игнорируя все остальные сценарии(включая встроенные сценарии и HTML-атрибуты обработки событий).
В качестве окончательной формы защиты сайты,которые не хотят,чтобы скрипты execute может глобально запретить выполнение скрипта.
Защита от перехвата пакетов
В дополнение к ограничению доменов,из которых может быть загружен контент,сервер может указать,какие протоколы разрешено использовать;например(и в идеале с точки зрения безопасности)сервер может указать,что весь контент должен загружаться с использованием HTTPS.Полная стратегия безопасности передачи данных включает не только принудительное использование HTTPS для передачи данных,но и пометку всех файлов cookie с помощьюбезопасный атрибут
и обеспечивает автоматическое перенаправление со страниц HTTP на их аналоги HTTPS.Сайты также могут использовать HTTP-заголовокStrict-Transport-Security
,чтобы гарантировать,что браузеры подключаются к ним только по зашифрованному каналу.
Настройка политики безопасности контента включает добавление HTTP-заголовкаContent-Security-Policy
к веб-странице и присвоение ему значений для управления тем,какие ресурсы пользовательскому агенту разрешено загружать для этой страницы.Например,страница,которая загружает и отображает изображения,может разрешать изображения из любого места,но ограничивать действие формы определенной конечной точкой.Правильно разработанная политика безопасности содержимого помогает защитить страницу от атак с использованием межсайтовых сценариев.В этой статье объясняется,как правильно создавать такие заголовки,и приводятся примеры.
Указание вашей политики
Вы можете использовать HTTP-заголовокContent-Security-Policy
для указания своей политики,например:
Content-Security-Policy:policy
Политика представляет собой строку,содержащую директивы политики,описывающие вашу политику безопасности содержимого.
Написание политики
Политика описывается с помощью ряда директив политики,каждая из которых описывает политику для определенного типа ресурса или области политики.Ваша политика должна включать
директива политики default-src
,которая является запасным вариантом для других типов ресурсов,когда у них нет собственных политик(полный список см.в описании директивыdefault-src
).Политика должна включать директивуdefault-src
илиscript-src
,чтобы предотвратить запуск встроенных скриптов,а также блокировать использованиеeval()
.Политика должна включать директивуdefault-src
илиstyle-src
,чтобы запретить применение встроенных стилей изэлемент
или атрибут стиля.Существуют специальные директивы для самых разных типов элементов,так что каждый тип может иметь свою собственную политику,включая шрифты,фреймы,изображения,аудио-и видеоносители,сценарии и рабочие процессы.
Полный список директив политики см.на справочной странице заголовка Content-Security-Policy.
В этом разделе приведены примеры некоторых распространенных сценариев политики безопасности.
Пример 1
Администратор веб-сайта хочет,чтобы весь контент исходил из собственного источника сайта(за исключением субдоменов).
Content-Security-Policy:default-src'self'
Пример 2
Администратор веб-сайта хочет разрешить содержимое доверенного домена и всех его поддоменов(это не обязательно должен быть тот же домен,на котором настроен CSP).
Content-Security-Policy:по умолчанию-src'я'example.com*.example.com
Пример 3
Администратор веб-сайта хочет разрешить пользователям веб-приложения включать изображения из любого источника в свой собственный контент,но ограничить аудио-или видеоносители доверенными поставщиками,а все сценарии — только определенным сервером,на котором размещен доверенный код.
Content-Security-Policy:default-src'self';img-источник*;медиа-источник example.org example.net;script-src userscripts.example.com
Здесь по умолчанию содержимое разрешено только из источника документа,за следующими исключениями:
- Изображения могут загружаться откуда угодно(обратите внимание на подстановочный знак «*»).
- Медиа разрешены только с example.org и example.net(но не с субдоменов этих сайтов).
- Исполняемый скрипт разрешен только с userscripts.example.com.
Пример 4
Администратор веб-сайта интернет-банка хочет убедиться,что весь его контент загружается с использованием TLS,чтобы предотвратить прослушивание запросов злоумышленниками.
Content-Security-Policy:default-src https:
Сервер разрешает доступ только к документам,загружаемым специально через HTTPS через единственный источник onlinebanking.example.com.
Пример 5
Администратор веб-сайта электронной почты хочет разрешить HTML в электронной почте,а также изображения,загружаемые откуда угодно,но не JavaScript или другой потенциально опасный контент.
Content-Security-Policy:default-src'self'*.example.com;img-источник*
Обратите внимание,что в этом примере не указанscript-src
;с примером CSP,этот сайт использует настройку,указанную директивойdefault-src
,что означает,что сценарии могут быть загружены только с исходного сервера.
Для упрощения развертывания CSP можно развертывать только в режиме отчетов.Политика не применяется,но о любых нарушениях сообщается на предоставленный URI.Кроме того,заголовок только для отчета можно использовать для тестирования будущей версии политики без ее фактического развертывания.
Вы можете использовать HTTP-заголовокContent-Security-Policy-Report-Only
,чтобы указать свою политику,например:
Content-Security-Policy-Report-Only:policy
Если в одном и том же ответе присутствуют заголовокContent-Security-Policy-Report-Only
и заголовокContent-Security-Policy
,учитываются обе политики.Политика,указанная в заголовкахContent-Security-Policy
,применяется,в то время какContent-Security-Policy-Report-Only 9Политика 0168 генерирует отчеты,но не применяется.
По умолчанию отчеты о нарушениях не отправляются.Чтобы включить отчеты о нарушениях,необходимо указать директиву политикиreport-uri
,предоставив по крайней мере один URI для доставки отчетов:
Content-Security-Policy:default-src'self';URI-отчет http:
Затем вам нужно настроить сервер для получения отчетов;он может хранить или обрабатывать их любым удобным для вас способом.
Объект отчета JSON содержит следующие данные:
заблокированный-uri
URI ресурса,загрузка которого была заблокирована политикой безопасности содержимого.Если заблокированный URI имеет другое происхождение,чем
document-uri
,то заблокированный URI усекается,чтобы содержать только схему,хост и порт.расположение
Либо
"принудительно"
или"отчет"
в зависимости от того,используется ли заголовокContent-Security-Policy-Report-Only
или заголовокContent-Security-Policy
.документ-uri
URI документа,в котором произошло нарушение.
действующая директива
Директива,исполнение которой вызвало нарушение.
Некоторые браузеры могут предоставлять разные значения,например,Chrome предоставляет
style-src-elem
/style-src-attr
,даже если фактически применялась директиваstyle-src
.исходная политика
Исходная политика,указанная в HTTP-заголовке
Content-Security-Policy
.реферер
УстаревшийНестандартныйРеферер документа,в котором произошло нарушение.
пример сценария
Первые 40 символов встроенного скрипта,обработчика события или стиля,вызвавшего нарушение.Применимо только к нарушениям
script-src*
иstyle-src*
,если они содержат'report-sample'
код состояния
Код состояния HTTP ресурса,на котором был создан экземпляр глобального объекта.
нарушение директивы
Имя нарушенного раздела политики.
Давайте рассмотрим страницу,расположенную по адресуhttp:Он использует следующую политику,запрещающую все,кроме таблиц стилей с
cdn.example.com
.
Content-Security-Policy:default-src'нет';стиль-источник cdn.example.com;отчет-uri/_/csp-отчеты
HTML-кодsignup.html
выглядит так:
<голова><метакодировка="UTF-8"/>Зарегистрироваться голова><тело>Вот будь доволен.тело>
Можете ли вы найти ошибку?Таблицы стилей разрешено загружать только сcdn.example.com
,но веб-сайт пытается загрузить их из собственного источника(http:Браузер,поддерживающий CSP,будет отправлять следующий отчет о нарушении в виде запроса POST на адрес
http:
{"csp-отчет":{"document-uri":"http://example.com/signup.html","реферер":"","заблокированный-uri":"http://example.com/css/style.css","нарушенная директива":"style-src cdn.example.com","original-policy":"источник по умолчанию 'нет'; источник стиля cdn.example.com; uri-отчет /_/csp-отчеты"}}
Как видите,отчет включает полный путь к ресурсу-нарушителю вblock-uri
.Это не всегда так.Например,еслиsignup.html
попытается загрузить CSS изhttp:(
http:Спецификация CSP дает объяснение этому странному поведению.Таким образом,это делается для предотвращения утечки конфиденциальной информации о ресурсах из разных источников.
Таблицы BCD загружаются только в браузере
с включенным JavaScript.