CSP アナライザー & ビルダー
Content-Security-Policy の弱点をチェック、または堅実な出発点となるポリシーを作成
入力
ポリシー本体、レスポンスヘッダー、Nginx の add_header、Apache の Header set、または HTML の meta タグ。
結果
詳細
チェック内容
CSP アナライザーは Google のオープンソース CSP Evaluator のチェックを実行し、unsafe-inline、unsafe-eval、ワイルドカード、スキームのみのソース、既知の許可リストバイパスホスト、object-src と script-src の欠落、ノンスの品質、strict CSP の提案を確認します。さらに Evaluator が扱わない項目として、重複したディレクティブ、base-uri と frame-ancestors の欠落、スクリプトソース内の blob:、ワイルドカードの connect-src、レポート設定、Report-Only ポリシー、meta タグの制約をチェックします。
入力形式
ポリシー本体、Content-Security-Policy または Content-Security-Policy-Report-Only のヘッダー行（レスポンスヘッダー全体の中にあっても可）、Nginx の add_header ディレクティブ、Apache の Header set 行、または HTML の meta タグを貼り付けてください。複数のポリシーが見つかった場合は、ブラウザーがそれらをすべて同時に適用するため、それぞれを個別に分析します。
評価グレード
グレードは 100 点から始まり、検出結果ごとに減点します: 高 30、構文エラー 20、中 15、高の可能性 15、中の可能性 8、strict CSP の提案 5。同じ種類の検出結果はディレクティブごとに 1 回だけ数え、高の可能性と中の可能性の減点は合計で最大 24 です。90 点以上で A、75 点以上で B、60 点以上で C、40 点以上で D です。これらのチェックをヒューリスティックに要約したもので、ページが安全であることを示すものではありません。
ビルダー
作成モードでは、プリセット（厳格な出発点、静的サイト、SPA + API 構成、Report-Only での段階導入、ロックダウン基準）から始めて各ディレクティブを編集し、任意でノンスのプレースホルダーと strict-dynamic を追加して、ヘッダー行、Nginx の add_header ディレクティブ、または meta タグとして出力します。生成されたポリシーはその場で分析されます。新しいポリシーはまず Report-Only モードで展開してください。
プライバシー
ポリシーはブラウザー内で解析・分析されます。貼り付けたテキストは保存されず、URL に追加されることも、サーバーに送信されることもありません。この端末に記憶されるのは、選択したモードと出力形式だけです。
