¿Qué header HTTP es una buena capa de defensa en profundidad contra XSS?

Opciones

1. Content-Security-Policy (Opción correcta)
2. Access-Control-Max-Age
3. Cache-Control: max-age
4. Content-Language: en-US

Respuesta

Content-Security-Policy

Por qué

Una Content-Security-Policy le dice al navegador qué orígenes de scripts, estilos e imágenes están permitidos, por ejemplo solo tu propio dominio, y puede bloquear scripts inline.

Aunque un atacante logre inyectar una etiqueta <script>, el navegador se niega a ejecutarla.

Es una segunda capa ('defensa en profundidad'); escapar la salida sigue siendo la defensa principal.

Recuerda

CSP = lista permitida de scripts en el navegador. Capa extra contra XSS.

Términos clave

• Content-Security-Policy
• XSS (Cross-Site Scripting)
• Cabecera HTTP
• HTTP
• Defensa en profundidad