Analizador y generador de CSP
Revisa las debilidades de una Content-Security-Policy o genera una política inicial sólida
Entrada
Política sin procesar, encabezados de respuesta, add_header de Nginx, Header set de Apache o una etiqueta meta HTML.
Resultados
Detalles
Herramientas relacionadas
Qué comprueba
El analizador de CSP ejecuta las comprobaciones de código abierto de CSP Evaluator de Google para unsafe-inline, unsafe-eval, comodines, esquemas sin más, hosts conocidos que eluden listas de permitidos, ausencia de object-src y script-src, calidad de los nonces y sugerencias de CSP estricta. Una segunda capa añade comprobaciones que el evaluador no cubre: directivas duplicadas, ausencia de base-uri y frame-ancestors, blob: en fuentes de scripts, connect-src con comodín, configuración de informes, políticas Report-Only y limitaciones de la etiqueta meta.
Formatos de entrada
Pega una política sin procesar, líneas de encabezado Content-Security-Policy o Content-Security-Policy-Report-Only (también dentro de un volcado completo de encabezados de respuesta), una directiva add_header de Nginx, una línea Header set de Apache o una etiqueta meta HTML. Si se encuentran varias políticas, cada una se analiza por separado, porque los navegadores las aplican todas a la vez.
Calificación de postura
La calificación empieza en 100 y resta puntos por cada hallazgo: alto 30, error de sintaxis 20, medio 15, posible alto 15, posible medio 8 y sugerencia de CSP estricta 5. Cada tipo de hallazgo cuenta una sola vez por directiva, y los posibles altos y posibles medios restan como máximo 24 en total. A empieza en 90, B en 75, C en 60 y D en 40. Es un resumen heurístico de estas comprobaciones, no una afirmación de que una página sea segura.
Generador
El modo Generar parte de una plantilla (Punto de partida estricto, Sitio estático, SPA con API, Despliegue en Report-Only o Base restrictiva), te permite editar cada directiva, añade un marcador de nonce opcional y strict-dynamic, y produce una línea de encabezado, una directiva add_header de Nginx o una etiqueta meta. La política generada se analiza en tiempo real. Despliega las políticas nuevas primero en modo Report-Only.
Privacidad
Las políticas se procesan y analizan en tu navegador. El texto pegado no se almacena, no se añade a la URL ni se envía a ningún servidor; solo se recuerdan en este dispositivo el modo y el formato de salida seleccionados.
