61 lines
2.5 KiB
Ruby
61 lines
2.5 KiB
Ruby
# config/initializers/content_security_policy.rb
|
|
#
|
|
# Content Security Policy (CSP) — defesa em profundidade contra XSS,
|
|
# clickjacking e injeção de recursos externos.
|
|
#
|
|
# ⚠️ MODO REPORT-ONLY (por enquanto)
|
|
# A política abaixo apenas REPORTA violações no console do navegador, sem
|
|
# BLOQUEAR nada. Isso é proposital: o app carrega mapa (Leaflet + tiles),
|
|
# gráficos (Chart.js), date-picker (Flatpickr), Tailwind e Google Fonts de
|
|
# CDNs externos, e um bloqueio mal calibrado quebraria essas telas.
|
|
#
|
|
# COMO ATIVAR O BLOQUEIO DE VERDADE:
|
|
# 1. Publique este arquivo e navegue por: /operacoes (painel), dashboard,
|
|
# login por PIN, telas de motorista e relatórios.
|
|
# 2. Abra o console do navegador (F12) e confirme que NÃO aparecem erros de
|
|
# "Content-Security-Policy" / "Refused to load ...".
|
|
# 3. Se aparecer algum host novo, adicione-o ao diretivo correspondente aqui.
|
|
# 4. Troque a última linha para:
|
|
# config.content_security_policy_report_only = false
|
|
#
|
|
Rails.application.configure do
|
|
config.content_security_policy do |p|
|
|
p.default_src :self
|
|
p.base_uri :self
|
|
p.object_src :none
|
|
p.frame_ancestors :self # anti-clickjacking (reforça X-Frame-Options)
|
|
p.form_action :self
|
|
|
|
# Scripts do app (self/inline) + CDNs usados:
|
|
# cdn.tailwindcss.com → Tailwind (Play CDN, precisa de eval p/ o JIT)
|
|
# cdn.jsdelivr.net → Chart.js, Flatpickr
|
|
# unpkg.com → Leaflet, Leaflet.heat
|
|
p.script_src :self, :unsafe_inline, :unsafe_eval,
|
|
"https://cdn.tailwindcss.com",
|
|
"https://cdn.jsdelivr.net",
|
|
"https://unpkg.com"
|
|
|
|
# Estilos inline (Tailwind/estilos embutidos) + Google Fonts + CSS dos CDNs
|
|
p.style_src :self, :unsafe_inline,
|
|
"https://fonts.googleapis.com",
|
|
"https://cdn.jsdelivr.net",
|
|
"https://unpkg.com"
|
|
|
|
p.font_src :self, :data, "https://fonts.gstatic.com"
|
|
|
|
# Imagens: data/blob (QR base64, canvas dos gráficos), ícones do Leaflet e
|
|
# tiles do mapa (ArcGIS World Imagery + OpenStreetMap).
|
|
p.img_src :self, :data, :blob,
|
|
"https://unpkg.com",
|
|
"https://cdn.jsdelivr.net",
|
|
"https://server.arcgisonline.com",
|
|
"https://*.tile.openstreetmap.org"
|
|
|
|
p.connect_src :self
|
|
end
|
|
|
|
# Enquanto validamos, apenas REPORTA (não bloqueia). Mude para false para
|
|
# ativar o bloqueio — veja as instruções no topo deste arquivo.
|
|
config.content_security_policy_report_only = true
|
|
end
|