Sebelum memutuskan untuk menggunakan CSP (Content Security Policy) pada CMS WordPress. Kamu harus tahu terlebih dahulu CSP vs Rich Content berikut ini.
Google Core Web Vitals memberikan poin plus kepada situs yang menerapkan Content Security Policy di situs web mereka. Berikut adalah hasil screenshot mengenai poin CSP di situs web.dev/measure.
Beberapa minggu yang lalu, selama satu bulan saya sedikit eksperimen di situs ini untuk menerapkan CSP (Content Security Policy), hingga kesalahan error dari report browser berhasil saya hilangkan.
Namun sayangnya saya memilih untuk menghilangkan CSP ini dengan alasan saya membutuhkan Rich Content. Dalam sebuah artikel terkadang saya memasukkan beberapa gambar, video, audio, dan embed.
Embed ntah dari Twitter, Facebook, Instagram, dsb untuk memperkaya tulisan tersebut. Di sinilah problematika ketika kamu menerapkan CSP (Content Security Policy) di situs web.
Kamu tidak bisa sembarangan melakukan embed tadi, kamu perlu melakukan whitelist script, font, atau media apa saja yang diperbolehkan untuk dieksekusi oleh browser.
Semakin banyak rule atau whitelist CSP tadi, akan membuat web server seperti Apache atau Nginx mengkonsumsi memory server yang lebih banyak dibandingkan tidak menggunakan CSP.
Untuk pemula menurut saya, penerapan CSP ini tidak mudah. Kamu perlu memantau melalui Developers Tools yang ada di browser untuk memastikan tidak ada error terkait CSP.
Balik lagi CSP vs Rich Content, apabila kamu ingin menerapkan Content Security Policy pada situs WordPress. Ada beberapa pertimbangan berikut yang mungkin bermanfaat.
- Pastikan situs WordPress kamu tidak terlalu banyak melakukan perubahan, baik di sisi theme maupun plugin.
- Kamu juga bisa membatasi sumber dari rich content tadi, misal hanya memperbolehkan embed video dari Facebook atau YouTube saja.
- Kamu pun perlu melakukan monitoring terkait hal-hal eror apa saja yang terjadi akibat penerapan CSP. Misalnya kamu perlu melakukan whitelist untuk script Google Analytics, Cloudflare Insight, dsb.
Kalau kamu memiliki concern terkait keamanan di WordPress, lakukan hardening security WordPress-nya saja. 😅
