Веб и безопасность приложений · проверено по источникам

Одноразовое значение CSP (nonce)

Nonce в CSP — случайное значение для одного ответа, которое указывают и в политике, и в разрешённом элементе страницы.

Также ищут: CSP nonce · nonce-source · script nonce · одноразовый CSP nonce

Практический смысл

Почему это важно

Если значение повторяется, предсказуемо или попадает в элемент под контролем злоумышленника, ограничение перестаёт защищать выполнение сценариев.

Доказательная часть

Что подтверждено

Источник nonce-source в CSP разрешает элемент, значение nonce которого совпадает со значением политики; сравнение выполняет браузер.
Граница применимости: Сопоставление nonce-source в CSP.
Значение nonce создают заново для каждого ответа, делают достаточно случайным и указывают только в разрешённых элементах.
Граница применимости: Создание и размещение nonce в CSP.

Перед спецификацией

Что проверить

Генерируйте nonce криптографически стойким генератором.
Не повторяйте nonce в следующих ответах.
Добавляйте nonce только разрешённым сценариям.

Открытые основания

Первоисточники

Первичная спецификация
Content Security Policy Level 3
World Wide Web Consortium · W3C Working Draft, 5 May 2026
Определяет CSP directives, source lists, nonce-source и browser enforcement для загрузки и исполнения content.
Открыть первоисточник

Delect.ru — информационный справочник: сведения о ценах, наличии и брендах формируются из данных витрины для анализа и сравнения. Наличие по данным витрины лучше дополнительно уточнять у выбранного поставщика; перед закупкой обязательно ставьте резервы. Сервис не является посредником при сделке и не сторона договора; коммерческие условия согласуются напрямую с выбранным дистрибьютором. Обозначения брендов приводятся для идентификации предложений.