Configuración de Content Security Policy (CSP)

Content Security Policy (CSP) es un estándar de seguridad que ayuda a prevenir ataques de cross-site scripting (XSS) controlando qué recursos puede cargar una página web. Mintlify aplica una CSP predeterminada en todos los sitios de documentación alojados. Si alojas tu documentación detrás de un proxy inverso o un cortafuegos que sobrescribe la CSP predeterminada, puede que necesites configurar encabezados CSP para que las funciones se ejecuten correctamente.

CSP predeterminada

Mintlify envía la siguiente política en el encabezado Content-Security-Policy de cada página de los sitios de documentación alojados:

default-src 'self' https:; script-src 'self' 'unsafe-inline' 'unsafe-eval' https:; style-src 'self' 'unsafe-inline' https:; img-src 'self' data: blob: https:; font-src 'self' data: https:; media-src 'self' data: blob: https:; frame-src 'self' blob: https:; connect-src 'self' data: https: wss:; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; upgrade-insecure-requests;

El encabezado también incluye las directivas frame-ancestors y form-action, que controlan dónde se puede incrustar tu sitio y a dónde pueden enviarse los formularios. De forma predeterminada, estas directivas son:

frame-ancestors 'self' https://dashboard.mintlify.com https://app.mintlify.com; form-action 'self';

La directiva frame-ancestors predeterminada impide que otros dominios incrusten tu sitio en un iframe. Para incrustar tu documentación en tu propia aplicación, consulta El sitio de documentación no se carga en un iframe. La política predeterminada permite recursos de cualquier origen HTTPS, por lo que la mayoría de los scripts personalizados, elementos incrustados, fuentes y herramientas de analítica funcionan sin cambios. Los navegadores bloquean los recursos que la política no permite:

Recursos HTTP: Los scripts, estilos, fuentes y otros recursos deben cargarse a través de HTTPS. Los navegadores bloquean las conexiones a URL HTTP sin cifrar, incluidos los servidores de desarrollo locales como http://localhost:8545.
Scripts blob y data: Los navegadores bloquean los scripts cargados desde URL blob: o data:. Algunos cargadores de etiquetas de terceros usan este patrón.
Plugins: Los navegadores bloquean los elementos <object> y <embed>.
Workers de origen cruzado: Los web workers deben cargarse desde tu dominio de documentación o desde una URL blob:.

Si un script personalizado o una integración deja de funcionar, revisa la consola de tu navegador para detectar infracciones de CSP. Consulta Solución de problemas. Carga el recurso a través de HTTPS o usa un cargador que no dependa de scripts blob:.

Directivas CSP

Las siguientes directivas de CSP controlan qué recursos puede cargar una página:

script-src: Controla qué scripts pueden ejecutarse
style-src: Controla qué hojas de estilo pueden cargarse
font-src: Controla qué fuentes pueden cargarse
img-src: Controla qué imágenes, iconos y logotipos pueden cargarse
connect-src: Controla a qué URL pueden conectarse para llamadas a la API y conexiones WebSocket
frame-src: Controla qué URL pueden incrustarse en frames o iframes
default-src: Valor predeterminado para otras directivas cuando no se establece explícitamente

Lista de dominios permitidos

Dominio	Propósito	Directiva CSP	Obligatorio
`d4tuoctqmanu0.cloudfront.net`	CSS y fuentes de KaTeX	`style-src`, `font-src`	Obligatorio
`*.mintlify.site`	Contenido de la documentación	`connect-src`, `frame-src`	Obligatorio
`*.mintlify.com`	Dashboard, API, proxy de Analytics	`connect-src`	Obligatorio
`leaves.mintlify.com`	API del assistant	`connect-src`	Obligatorio
`d3gk2c5xim1je2.cloudfront.net`	Íconos, imágenes, logotipos	`img-src`	Obligatorio
`d1ctpt7j8wusba.cloudfront.net`	Archivos de versiones y lanzamientos de Mint	`connect-src`	Obligatorio
`mintcdn.com`	Imágenes, favicons	`img-src`, `connect-src`	Obligatorio
`*.mintcdn.com`	Imágenes, favicons	`img-src`, `connect-src`	Obligatorio
`cdn.jsdelivr.net`	Recursos de emojis para imágenes OG	`script-src`, `img-src`	Obligatorio
`mintlify.s3.us-west-1.amazonaws.com`	Imágenes alojadas en S3	`img-src`	Obligatorio
`hcaptcha.com`	Verificación CAPTCHA de hCaptcha	`script-src`, `frame-src`, `style-src`, `connect-src`, `unsafe-eval`, `unsafe-inline`	Obligatorio
`*.hcaptcha.com`	Verificación CAPTCHA de hCaptcha	`script-src`, `frame-src`, `style-src`, `connect-src`, `unsafe-eval`, `unsafe-inline`	Obligatorio
`fonts.googleapis.com`	Google Fonts	`style-src`, `font-src`	Opcional
`www.googletagmanager.com`	Google Analytics/Google Tag Manager (GTM)	`script-src`, `connect-src`	Opcional
`cdn.segment.com`	Segment Analytics	`script-src`, `connect-src`	Opcional
`plausible.io`	Plausible Analytics	`script-src`, `connect-src`	Opcional
`us.posthog.com`	PostHog Analytics	`connect-src`	Opcional
`tag.clearbitscripts.com`	Seguimiento de Clearbit	`script-src`	Opcional
`cdn.heapanalytics.com`	Heap Analytics	`script-src`	Opcional
`chat.cdn-plain.com`	Widget de chat de Plain	`script-src`	Opcional
`chat-assets.frontapp.com`	Widget de chat de Front	`script-src`	Opcional
`browser.sentry-cdn.com`	Seguimiento de errores con Sentry	`script-src`, `connect-src`	Opcional
`js.sentry-cdn.com`	SDK de JavaScript de Sentry	`script-src`	Opcional

Ejemplo de configuración de CSP

Incluye solo los domains de los servicios que usas. Elimina cualquier domain de Analytics que no hayas configurado para tu documentación.

Content-Security-Policy:
default-src 'self';
script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.jsdelivr.net www.googletagmanager.com cdn.segment.com plausible.io
us.posthog.com tag.clearbitscripts.com cdn.heapanalytics.com chat.cdn-plain.com chat-assets.frontapp.com
browser.sentry-cdn.com js.sentry-cdn.com hcaptcha.com *.hcaptcha.com;
style-src 'self' 'unsafe-inline' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com hcaptcha.com *.hcaptcha.com;
font-src 'self' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com;
img-src 'self' data: blob: d3gk2c5xim1je2.cloudfront.net mintcdn.com *.mintcdn.com cdn.jsdelivr.net mintlify.s3.us-west-1.amazonaws.com;
connect-src 'self' *.mintlify.site *.mintlify.com d1ctpt7j8wusba.cloudfront.net mintcdn.com *.mintcdn.com
www.googletagmanager.com cdn.segment.com plausible.io us.posthog.com browser.sentry-cdn.com hcaptcha.com *.hcaptcha.com;
frame-src 'self' *.mintlify.site hcaptcha.com *.hcaptcha.com;

Configuraciones comunes por tipo de proxy

La mayoría de los servidores proxy inversos permiten agregar encabezados personalizados.

Configuración de Cloudflare

Crea una regla de transformación de encabezados de respuesta:

En tu dashboard de Cloudflare, ve a Rules > Overview.
Selecciona Create rule > Response Header Transform Rule.
Configura la regla:

Modify response header: Set static

Header name: Content-Security-Policy

Header value:

default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.jsdelivr.net hcaptcha.com *.hcaptcha.com; style-src 'self' 'unsafe-inline' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com hcaptcha.com *.hcaptcha.com; font-src 'self' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com; img-src 'self' data: blob: d3gk2c5xim1je2.cloudfront.net mintcdn.com *.mintcdn.com cdn.jsdelivr.net mintlify.s3.us-west-1.amazonaws.com; connect-src 'self' *.mintlify.site *.mintlify.com d1ctpt7j8wusba.cloudfront.net mintcdn.com *.mintcdn.com hcaptcha.com *.hcaptcha.com; frame-src 'self' *.mintlify.site hcaptcha.com *.hcaptcha.com;

Publica la regla.

Configuración de AWS CloudFront

Agrega una política de encabezados de respuesta en CloudFront:

{
"ResponseHeadersPolicy": {
    "Name": "MintlifyCSP",
    "Config": {
    "SecurityHeadersConfig": {
        "ContentSecurityPolicy": {
        "ContentSecurityPolicy": "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.jsdelivr.net hcaptcha.com *.hcaptcha.com; style-src 'self' 'unsafe-inline' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com hcaptcha.com *.hcaptcha.com; font-src 'self' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com; img-src 'self' data: blob: d3gk2c5xim1je2.cloudfront.net mintcdn.com *.mintcdn.com cdn.jsdelivr.net mintlify.s3.us-west-1.amazonaws.com; connect-src 'self' *.mintlify.site *.mintlify.com d1ctpt7j8wusba.cloudfront.net mintcdn.com *.mintcdn.com hcaptcha.com *.hcaptcha.com; frame-src 'self' *.mintlify.site hcaptcha.com *.hcaptcha.com;",
        "Override": true
        }
      }
    }
  }
}

Configuración de Vercel

Agrega en tu vercel.json:

{
"headers": [
    {
    "source": "/(.*)",
    "headers": [
        {
        "key": "Content-Security-Policy",
        "value": "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.jsdelivr.net hcaptcha.com *.hcaptcha.com; style-src 'self' 'unsafe-inline' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com hcaptcha.com *.hcaptcha.com; font-src 'self' d4tuoctqmanu0.cloudfront.net fonts.googleapis.com; img-src 'self' data: blob: d3gk2c5xim1je2.cloudfront.net mintcdn.com *.mintcdn.com cdn.jsdelivr.net mintlify.s3.us-west-1.amazonaws.com; connect-src 'self' *.mintlify.site *.mintlify.com d1ctpt7j8wusba.cloudfront.net mintcdn.com *.mintcdn.com hcaptcha.com *.hcaptcha.com; frame-src 'self' *.mintlify.site hcaptcha.com *.hcaptcha.com;"
        }
      ]
    }
  ]
}

Solución de problemas

Identifica infracciones de la CSP en la consola de tu navegador:

Abre las herramientas de desarrollador de tu navegador.
Ve a la pestaña Console.
Busca errores que empiecen por:
- Content Security Policy: The page's settings blocked the loading of a resource
- Refused to load the script/stylesheet because it violates the following Content Security Policy directive
- Refused to connect to because it violates the following Content Security Policy directive

Primeros pasos

Crear contenido

Administra tu sitio

Agente

Assistant

Contenido preparado para agentes

Búsqueda y SEO

Documentar APIs

Integraciones

Referencia

Configuración de Content Security Policy (CSP)

CSP predeterminada

Directivas CSP

Lista de dominios permitidos

Ejemplo de configuración de CSP

Configuraciones comunes por tipo de proxy

Configuración de Cloudflare

Configuración de AWS CloudFront

Configuración de Vercel

Solución de problemas

​CSP predeterminada

​Directivas CSP

​Lista de dominios permitidos

​Ejemplo de configuración de CSP

​Configuraciones comunes por tipo de proxy

​Configuración de Cloudflare

​Configuración de AWS CloudFront

​Configuración de Vercel

​Solución de problemas

CSP predeterminada

Directivas CSP

Lista de dominios permitidos

Ejemplo de configuración de CSP

Configuraciones comunes por tipo de proxy

Configuración de Cloudflare

Configuración de AWS CloudFront

Configuración de Vercel

Solución de problemas