<\/span><\/h2>\nKluczowa zmiana mentalna: przestajemy r\u0119cznie drukowa\u0107 znaczniki script<\/code> i przestajemy polega\u0107 na atrybutach zdarze\u0144 w HTML. Strict CSP wymaga, aby wszystkie skrypty trafia\u0142y na stron\u0119 przez oficjalne API – wp_enqueue_script<\/code>, wp_add_inline_script<\/code>, wp_localize_script<\/code>, wp_print_script_tag<\/code>, wp_print_inline_script_tag<\/code> lub wp_enqueue_script_module<\/code>. To pozwala WordPress doda\u0107 nonce<\/em> i spe\u0142ni\u0107 warunki polityki. Je\u017celi motyw lub wtyczka wci\u0105\u017c echo-uje surowe tagi script<\/code> albo u\u017cywa onclick<\/code> w HTML, przegl\u0105darka je zablokuje. W takim przypadku poprawiamy kod, przenosz\u0105c logik\u0119 do plik\u00f3w JS lub do inline script dodawanego funkcj\u0105 WordPress, zamiast w HTML.<\/p>\nCz\u0119\u015b\u0107 starszych motyw\u00f3w – \u0142\u0105cznie z niekt\u00f3rymi motywami domy\u015blnymi – bywa podatna na opisane antywzorce. Przyk\u0142adowy fix to zamiana echo '<script>...<\/script>'<\/code> na wp_print_inline_script_tag('...')<\/code>.<\/p>\n<\/span>Najcz\u0119stsze problemy i diagnostyka<\/span><\/h2>\n\n- Po aktywacji przestaje dzia\u0142a\u0107 jaka\u015b interakcja – sprawd\u017a konsol\u0119 przegl\u0105darki. Zwykle winne s\u0105 inline script bez nonce lub atrybuty zdarze\u0144.<\/li>\n
- Osadzenia zewn\u0119trzne – upewnij si\u0119, \u017ce trafiaj\u0105 na stron\u0119 przez mechanizmy WordPress i otrzymuj\u0105 nonce.<\/li>\n
- Wtyczki legacy – zidentyfikuj miejsca, w kt\u00f3rych drukuj\u0105 tagi
script<\/code>, i przenie\u015b je na API enqueuowania.<\/li>\n<\/ul>\nNaprawa polega na przej\u015bciu na API WordPress i na eliminacji atrybut\u00f3w zdarze\u0144 w HTML. W rzadkich przypadkach konieczna jest aktualizacja sposobu integracji z us\u0142ug\u0105 zewn\u0119trzn\u0105.<\/p>\n
<\/span>Jak Strict CSP ma si\u0119 do og\u00f3lnych porad dot. CSP<\/span><\/h2>\nWprowadzenie CSP w WordPress bywa trudne tam, gdzie powszechne s\u0105 inline script i style. Dopuszczenie unsafe-inline<\/code> u\u0142atwia start, ale znacz\u0105co os\u0142abia ochron\u0119. \u015acis\u0142a polityka oparta o nonce i hashe jest bezpieczniejsza, lecz wymusza porz\u0105dek w kodzie i zgodno\u015b\u0107 z API. Strict CSP pomaga zbli\u017cy\u0107 si\u0119 do tego stanu bez r\u0119cznej konfiguracji nag\u0142\u00f3wk\u00f3w i wyj\u0105tk\u00f3w, bo integruje si\u0119 z kolejk\u0105 skrypt\u00f3w WordPress.<\/p>\n<\/span>Kiedy warto wdro\u017cy\u0107 i dla kogo<\/span><\/h2>\n