Atualização: Implementação do Content Security Policy (CSP)

Modificado em Seg, 5 Mai na (o) 2:49 PM

Essa atualização afetará apenas parceiros que utilizam nossa API de marketplace para integrações.

O que vai mudar?

Para reforçar a segurança da aplicação, o servidor passará a incluir o cabeçalho HTTP Content-Security-Policy (CSP).

Esse cabeçalho restringe os tipos de conteúdo que podem ser carregados, bloqueando scripts, estilos ou fontes de origens não autorizadas. Isso ajuda a reduzir riscos de ataques, como: Cross-Site Scripting (XSS) e injeção de código.

Por que estamos realizando essa mudança?

A adoção do CSP trará benefícios significativos para a segurança e conformidade da plataforma:

Proteção avançada: Redução de riscos de XSS e injeções de conteúdo malicioso.
Conformidade com normas de segurança: Alinhamento com requisitos do GDPR, OWASP e boas práticas de segurança.
Controle de conteúdo: Garantia de que apenas recursos confiáveis sejam carregados na aplicação.

Quando isso irá acontecer?

A mudança será implementada no dia 06/06/2025.

Antes da ativação em produção, recomenda-se testes em ambiente de homologação para evitar impactos inesperados.

O que preciso fazer?

A maioria dos parceiros não precisará realizar nenhuma ação, mas atenção para as exceções:

Integrações externas: Se você utiliza embeds, scripts ou recursos de terceiros, pode ser necessário ajustar permissões para permitir o carregamento.
Testes de compatibilidade: Verifique se suas integrações funcionam corretamente com a nova política de segurança. Se necessário, solicite a inclusão de domínios confiáveis na política CSP.
Monitoramento de violações: Acompanhe os logs e relatórios de CSP (CSP reports) para identificar bloqueios inesperados.

Pontos de observação

Impacto em serviços externos: Se alguma funcionalidade for bloqueada, pode ser necessário ajustá-la para que continue funcionando.
Monitoramento inicial: Recomendamos ativar a política em modo report-only no início, permitindo identificar impactos sem bloquear conteúdos imediatamente.
Ajustes contínuos: A política pode ser refinada conforme novos requisitos e integrações forem identificados.
Compatibilidade com navegadores: Algumas diretivas do CSP podem não ser suportadas por todos os navegadores.

Seguimos trabalhando para oferecer um ambiente cada vez mais seguro e confiável para sua operação!

Veja também outras atualizações recentes para segurança da sua integração: