Chiarimento su protezioni CSRF e Content Security Policy (CSP) per script PHP

[giostrumenti]

Ciao a tutti,

Sto sviluppando uno strumento per la generazione di palette di colori. Trattandosi di uno strumento che gestisce input e output in PHP, mi stavo chiedendo sulle misure di sicurezza necessarie.

In particolare, vorrei sapere se la piattaforma Altervista implementa già di default delle protezioni a livello server per:

Protezione CSRF : È necessario che io generi e convalidi manualmente i token nelle sessioni PHP per ogni form, o esiste un filtro globale della piattaforma?

Content Security Policy: Gli header di sicurezza vengono gestiti/imposti da Altervista o devo configurarli io tramite il file .htaccess o direttamente via PHP con la funzione header()?

Vorrei evitare di scrivere codice ridondante se queste misure sono già attive a livello di sistema, ma allo stesso tempo non voglio lasciare lo script vulnerabile.

Grazie in anticipo

[alemoppo]

AlterVista supporta normalmente PHP (incluse sessioni con session_start() e $_SESSION).

Per quanto riguarda però la sicurezza, non ci sono protezioni automatiche a livello applicativo: la protezione CSRF va implementata nel codice, così come eventuali header di sicurezza (es. CSP), che non vengono impostati automaticamente. Se ti servono, puoi impostarli tramite header().

Ciao!

[giostrumenti]

AlterVista supporta normalmente PHP (incluse sessioni con session_start() e $_SESSION).

Per quanto riguarda però la sicurezza, non ci sono protezioni automatiche a livello applicativo: la protezione CSRF va implementata nel codice, così come eventuali header di sicurezza (es. CSP), che non vengono impostati automaticamente. Se ti servono, puoi impostarli tramite header().

Ciao!

Grazie mille per il chiarimento.

A questo punto, per mantenere il codice PHP più pulito e non dover scrivere le intestazioni in ogni script, pensavo di gestire gli header di sicurezza (come la CSP, X-Frame-Options, ecc.) direttamente tramite il file .htaccess.

AlterVista permette l'uso della direttiva Header set (modulo mod_headers)? In questo modo potrei applicare una protezione globale a livello di directory per tutti i tool che svilupperò, senza appesantire i singoli file .php.

[alemoppo]

Le direttive .htaccess disponibili sono elencate qui.
Il modulo mod_headers non è disponibile, quindi va usato tramite header(). Come protezione globale puoi includere un file PHP in tutti gli script, in ogni caso non è una modifica significativa che apporta più pesantezza alle richieste.

Ciao!