Penganalisis & Pembuat CSP

Penganalisis CSP menjalankan pemeriksaan sumber terbuka CSP Evaluator dari Google untuk unsafe-inline, unsafe-eval, wildcard, skema tanpa host, host bypass daftar izin yang dikenal, object-src dan script-src yang tidak ada, kualitas nonce, serta saran CSP ketat. Lapisan kedua menambahkan pemeriksaan yang tidak dicakup evaluator: direktif duplikat, base-uri dan frame-ancestors yang tidak ada, blob: di sumber skrip, connect-src dengan wildcard, pengaturan pelaporan, kebijakan Report-Only, dan batasan tag meta.

Tempel kebijakan mentah, baris header Content-Security-Policy atau Content-Security-Policy-Report-Only (juga di dalam dump header respons lengkap), direktif add_header Nginx, baris Header set Apache, atau tag meta HTML. Jika ditemukan beberapa kebijakan, masing-masing dianalisis terpisah, karena browser memberlakukan semuanya secara bersamaan.

Nilai dimulai dari 100 dan dikurangi poin untuk setiap temuan: Tinggi 30, galat sintaksis 20, Sedang 15, kemungkinan Tinggi 15, kemungkinan Sedang 8, dan saran CSP ketat 5. Setiap jenis temuan dihitung sekali per direktif, dan kemungkinan Tinggi serta kemungkinan Sedang bersama-sama mengurangi paling banyak 24. A mulai dari 90, B dari 75, C dari 60, dan D dari 40. Ini adalah ringkasan heuristik dari pemeriksaan tersebut, bukan pernyataan bahwa halaman aman.

Modus Buat dimulai dari prasetel (Titik awal ketat, Situs statis, SPA dengan API, Peluncuran Report-Only, atau Dasar terkunci rapat), memungkinkan Anda mengedit setiap direktif, menambahkan placeholder nonce opsional dan strict-dynamic, lalu menghasilkan baris header, direktif add_header Nginx, atau tag meta. Kebijakan yang dihasilkan langsung dianalisis. Luncurkan kebijakan baru dalam modus Report-Only terlebih dahulu.

Kebijakan diurai dan dianalisis di browser Anda. Teks yang ditempel tidak disimpan, tidak ditambahkan ke URL, dan tidak dikirim ke server; hanya modus dan format keluaran yang dipilih yang diingat di perangkat ini.