CSP blokkeert 'Badges' in repo readme's #43
Labels
No labels
bug
duplicate
enhancement
help wanted
invalid
question
wontfix
Prio - Hoog
Prio - Laag
Prio - Middel
styling
No milestone
No project
No assignees
1 participant
sander.van.thillo
Notifications
Due date
No due date set.
Dependencies
No dependencies set.
Reference
MinBZK/Codeplatform#43
Loading…
Add table
Add a link
Reference in a new issue
No description provided.
Delete branch "%!s()"
Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?
IVM de strikte CSP headers zijn afbeeldingen die gebruikt worden als 'badge' om bijvoorbeeld de build-status van een project te tonen op de repo's homepage (via de readme file), niet zichtbaar. Concrete voorbeelden zijn:
https://img.shields.io/github/actions/workflow/status/MinBZK/keycloak-theme/build.yaml
De huidige CSP directive voor img is
“img-src 'self' data: blob:”Gezien afbeeldingen doorgaans minder spannend zijn voor wat betreft 'active content', stel ik voor deze CSP regel minder restrictief te maken. Mijn voorstel is:
“img-src 'self' data: blob: https:”Wellicht goed om ook meteen upgrade-insecure-requests op te nemen.
default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: https:; font-src 'self'; connect-src 'self'; frame-src 'none'; frame-ancestors 'none'; base-uri 'self'; object-src 'none'; form-action 'self'; manifest-src 'self' data:; upgrade-insecure-requests;