# Absicherung via  Content-Security-Policy

**URL:** <https://forum.shopware.com/t/absicherung-via-content-security-policy/57226>\
**Category:** Installation/Einstieg\
**Created:** [31. Dezember 2018 um 11:53 UTC](https://forum.shopware.com/t/absicherung-via-content-security-policy/57226 "2018-12-31T11:53:49Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![Xali](https://avatars.discourse-cdn.com/v4/letter/x/ce7236/32.png) [@Xali](https://forum.shopware.com/u/Xali)\
**Post date:** [31. Dezember 2018 um 11:53 UTC](https://forum.shopware.com/t/absicherung-via-content-security-policy/57226/1 "2018-12-31T11:53:49Z")

</div>

Hat jemand Erfahrung wie im normalen 08/15 Shopware Shop die Content-Security-Policy aussehen muss ?

Ich habe einige (!) der “Referenz-Shops” gechecked und dort keine Implementierung gefunden.

Macht hier Shopware Probleme ? Ich verliere gerne unser A+ Security Rating ;-).&nbsp;

Danke vorab wenn jemand herausgefunden hat welche Settings Shopware benötigt um den Shop bestmöglichst abzusichern.&nbsp;

/Xali

&nbsp;

Im alten Shop (xt commerce 3.04) hatten wir dies:&nbsp;

#add\_header Content-Security-Policy “default-src ‘self’; script-src ‘self’;” ;  
&nbsp;

---

<div class="post-metadata">

**Author:** ![kulli](https://avatars.discourse-cdn.com/v4/letter/k/a3d4f5/32.png) [@kulli](https://forum.shopware.com/u/kulli)\
**Post date:** [31. Dezember 2018 um 12:40 UTC](https://forum.shopware.com/t/absicherung-via-content-security-policy/57226/2 "2018-12-31T12:40:43Z")

</div>

Grundeinstellungen - System - Inputfilter

Was ist ein A+ Security Rating ? und warum verliert Ihr es gerne ?

---

<div class="post-metadata">

**Author:** ![Xali](https://avatars.discourse-cdn.com/v4/letter/x/ce7236/32.png) [@Xali](https://forum.shopware.com/u/Xali)\
**Post date:** [31. Dezember 2018 um 13:41 UTC](https://forum.shopware.com/t/absicherung-via-content-security-policy/57226/3 "2018-12-31T13:41:51Z")

</div>

[https://observatory.mozilla.org/](https://observatory.mozilla.org/)

A+ erhält man nur mit entsprechender CSP.

&nbsp;

Und oben bitte Ironie-Tags hinzufügen.&nbsp;

Ich glaube nicht das der Input Filter das gleiche macht, auch da wir Proxies vorgeschaltet haben und&nbsp; bereits dort die Header gesetzt werden.

---

<div class="post-metadata">

**Author:** ![hhmarco73](https://avatars.discourse-cdn.com/v4/letter/h/ed8c4c/32.png) [@hhmarco73](https://forum.shopware.com/u/hhmarco73)\
**Post date:** [2. Januar 2019 um 07:31 UTC](https://forum.shopware.com/t/absicherung-via-content-security-policy/57226/4 "2019-01-02T07:31:43Z")

</div>

CSP würde ich auch gerne nutzen. Grundsätzliches Problem für eine wirklich sinnvolle CSP Konfiguration ist aber ja leider, dass Shopware in der Standard Installation Inline Javascript nutzt. Ich kann aktuell auch nicht&nbsp;abschätzen, wie groß der Aufwand ist, das inline Javascript auszulagern.&nbsp;