CSP विश्लेषक और बिल्डर

CSP विश्लेषक, Google के ओपन-सोर्स CSP Evaluator की जाँचें चलाता है: unsafe-inline, unsafe-eval, वाइल्डकार्ड, सिर्फ़ स्कीम वाले स्रोत, ज्ञात अनुमति-सूची बायपास होस्ट, गायब object-src और script-src, नॉन्स की गुणवत्ता और strict CSP सुझाव। दूसरी परत वे जाँचें जोड़ती है जो evaluator में नहीं हैं: डुप्लिकेट निर्देश, गायब base-uri और frame-ancestors, स्क्रिप्ट स्रोतों में blob:, वाइल्डकार्ड connect-src, रिपोर्टिंग सेटअप, Report-Only नीतियाँ और meta टैग की सीमाएँ।

कच्ची नीति, Content-Security-Policy या Content-Security-Policy-Report-Only हेडर पंक्तियाँ (पूरे रिस्पॉन्स हेडर डंप के अंदर भी), Nginx add_header निर्देश, Apache Header set पंक्ति या HTML meta टैग पेस्ट करें। कई नीतियाँ मिलने पर हर एक का अलग विश्लेषण होता है, क्योंकि ब्राउज़र उन सभी को एक साथ लागू करते हैं।

ग्रेड 100 से शुरू होता है और हर निष्कर्ष पर अंक घटते हैं: उच्च 30, सिंटैक्स त्रुटि 20, मध्यम 15, संभावित उच्च 15, संभावित मध्यम 8 और strict CSP सुझाव 5। हर निष्कर्ष प्रकार प्रति डायरेक्टिव केवल एक बार गिना जाता है, और संभावित उच्च व संभावित मध्यम मिलकर अधिकतम 24 अंक घटाते हैं। A 90 से, B 75 से, C 60 से और D 40 से शुरू होता है। यह इन जाँचों का अनुमान-आधारित सारांश है, यह दावा नहीं कि पेज सुरक्षित है।

निर्माण मोड एक प्रीसेट (सख्त शुरुआती बिंदु, स्टैटिक साइट, SPA + API, Report-Only रोलआउट या पूरी तरह बंद आधार-नीति) से शुरू होता है, हर निर्देश संपादित करने देता है, वैकल्पिक नॉन्स प्लेसहोल्डर और strict-dynamic जोड़ता है, और हेडर पंक्ति, Nginx add_header निर्देश या meta टैग के रूप में आउटपुट देता है। बनाई गई नीति का लाइव विश्लेषण होता है। नई नीतियों को पहले Report-Only मोड में रोल आउट करें।

नीतियाँ आपके ब्राउज़र में ही पार्स और विश्लेषित होती हैं। पेस्ट किया गया टेक्स्ट न सहेजा जाता है, न URL में जोड़ा जाता है और न किसी सर्वर पर भेजा जाता है; इस डिवाइस पर केवल चुना गया मोड और आउटपुट फ़ॉर्मैट याद रखा जाता है।