Portail ZAPP protege cada página con una política de seguridad de contenido (CSP): el navegador solo ejecuta los scripts emitidos por la aplicación y solo carga imágenes, fuentes, vídeos o marcos desde los orígenes autorizados. Un script inyectado por un tercero (contenido trampa, extensión maliciosa) se rechaza.
Cuando el navegador rechaza algo, lo notifica a la aplicación. El resumen de estas notificaciones, reservado a los Administradores, está en la dirección /administration/security/csp-reports.
Qué muestra el resumen
El resumen se muestra en formato JSON, legible directamente en el navegador. Encuentras:
mode:Enforce(la política se aplica: lo notificado se ha bloqueado),Report(la política solo se mide: no se bloquea nada, todo se notifica) uOff;generatedAt: la hora del resumen (UTC);dropped: el número de notificaciones descartadas por falta de espacio (el resumen guarda como máximo 1000 grupos; los menos recientes dejan sitio a los nuevos);entries: las infracciones agrupadas, la más frecuente primero.
Cada grupo reúne las notificaciones idénticas:
| Campo | Significado |
|---|---|
directive |
El tipo de contenido rechazado: script-src-elem (script), style-src (estilo), img-src (imagen), font-src (fuente), frame-src (marco integrado), connect-src (llamada de red)… |
blocked |
Lo que se ha rechazado: un origen (https://ejemplo.com), inline (código escrito en la página) o eval (código construido al vuelo) |
page |
La página donde ocurrió; (externe) si la notificación viene de una página fuera de la aplicación |
module |
El primer segmento de la página (tickets, kb…), para saber qué módulo está afectado |
count, firstSeen, lastSeen |
Número de apariciones, primera y última vez |
sourceFile, line |
El archivo y la línea implicados, cuando el navegador los indica |
El resumen se guarda en memoria: vuelve a cero en cada reinicio. Cada grupo nuevo también se escribe en el registro de la aplicación, que conserva un rastro.
Qué hacer con una infracción
Un resumen vacío es lo normal. Para cada grupo de la lista:
- Un origen externo legítimo (fuente de un tema, alojamiento de vídeos, servicio de verificación humana): el alojador de la instancia lo autoriza en el servidor, en la configuración
Security:Csp:Sources:<directive>:<n>(por ejemploSecurity:Csp:Sources:font-src:0=https://fonts.gstatic.com). Solo se acepta una direcciónhttps://precisa; es imposible autorizar «todo». Este ajuste no se hace desde la interfaz. inlineoevalen una pantalla de Portail ZAPP: la pantalla probablemente está rota (un botón o un menú ya no responde). Avisa al soporte con la página, la directiva, el archivo y la línea.- Un origen desconocido: puede ser una extensión del navegador de un usuario, o un contenido trampa que la política ha bloqueado. Si la página muestra contenido introducido por un usuario (artículo, ticket), revisa ese contenido.
(externe): notificación de una página fuera de la aplicación, sin consecuencias para ella.
Las notificaciones están limitadas en número y tamaño: una avalancha no puede saturar la aplicación.
Ver también
- «Supervisar la instancia»: estado de la instancia y diagnóstico de soporte.