rf4-spotter/docs/csp-inventory.md

CSP inventory

Проверено 13 сентября 2026 года. Production не требует произвольных внешних origin: browser API-запросы идут на текущий домен, изображения скриншотов — только на FILES_DOMAIN, шрифты и сборка Astro — локальные.

Временные inline-зависимости

• динамический JSON-LD в Layout.astro;
• inline bootstrap в report.astro и spots/[id].astro;
• page scripts главной и трёх admin-экранов;
• scoped <style> Astro-компонентов;
• вычисляемые CSS custom properties для шкалы активности и timeline.

Текущая CSP поэтому временно допускает unsafe-inline отдельно для script/style elements и style attributes. Inline event handlers запрещены script-src-attr 'none'; unsafe-eval, wildcard, HTTP и сторонние connect/script origin отсутствуют.

Путь к nonce/hash

1. Перенести page scripts в импортируемые клиентские модули, конфигурацию передавать через безопасные data-*.
2. JSON-LD либо хэшировать на уровне SSR-заголовка, либо выдавать nonce из web-runtime; статический nonce запрещён.
3. Оставить scoped styles в скомпилированных _astro assets; вычисляемые значения заменить классами/data-* или nonce style.
4. Удалить unsafe-inline из script-src, затем из style-src; style-src-attr убрать последним.
5. Проверить report, spots, admin, JSON-LD и signed screenshots в production bootstrap. Не добавлять blob:, * или произвольные CDN для устранения ошибок.