Tryby CSP i podstawowe zabezpieczenia WordPressa
Ten ekran łączy politykę ładowania zasobów z podstawowymi zabezpieczeniami WordPressa. Ustawienia dobierasz do integracji działających na stronie.
Gdzie to ustawić
Ustawienia znajdziesz w panelu WordPressa: RRSecurity → Bezpieczeństwo.
Konfiguracja krok po kroku
- W sekcji „Tryb Content Security Policy” wybierz pełne nagłówki, same nagłówki hardeningu, tryb developerski lub wyłączenie nagłówków.
- Przy pełnym CSP sprawdź zaufane źródła w Analizatorze CSP. Następnie przejrzyj przełączniki sekcji „Hardening WordPressa”.
- Zapisz ustawienia i sprawdź stronę jako niezalogowany odwiedzający.
Co zmieniają tryby
Pełny tryb wysyła CSP, Permissions-Policy i nagłówki hardeningu. Drugi wariant pomija CSP. Tryb developerski oraz wariant wyłączony nie zapewniają tych nagłówków; służą innym sytuacjom niż docelowa konfiguracja ochrony.
Dostępne przełączniki
Możesz ograniczyć ujawnianie nagłówka Server, zablokować REST API i XML-RPC, usunąć odnośniki RSD i wlwmanifest, parametr ?ver= z zasobów oraz wersję WordPressa z meta generatora. Blokady API mogą wpływać na integracje; samo ukrycie wersji nie zastępuje aktualizacji.
Wykluczenia CSP
Wpisuj po jednym fragmencie adresu na linię. Dopasowanie dotyczy wystąpienia fragmentu w URL, więc zbyt ogólny wpis może objąć wiele podstron. Wykluczona strona nie otrzyma tej polityki. Podgląd whitelisty jest informacyjny; edytuje się ją w Analizatorze CSP.
Przy pełnym CSP RRS Performance pomija zapis strony do pliku cache. Pozostałe optymalizacje HTML mogą nadal działać.
Jak sprawdzić, czy to działa
Otwórz formularz, osadzone wideo, mapę i proces zakupu. W narzędziach przeglądarki sprawdź odpowiedź głównego dokumentu oraz komunikaty blokad CSP. Ekran Debug CSP pomaga porównać konfigurację z faktycznie wysyłanym nagłówkiem.
