CSP 분석기 및 빌더
Content-Security-Policy의 약점을 검사하거나 강력한 시작 정책을 만드세요
입력
원본 정책, 응답 헤더, Nginx add_header, Apache Header set 또는 HTML meta 태그.
결과
상세 정보
검사 항목
CSP 분석기는 Google의 오픈 소스 CSP Evaluator 검사를 실행해 unsafe-inline, unsafe-eval, 와일드카드, 스킴만 있는 소스, 알려진 허용 목록 우회 호스트, object-src 및 script-src 누락, nonce 품질, strict CSP 제안을 확인합니다. 두 번째 계층에서는 evaluator가 다루지 않는 검사를 추가합니다: 중복 지시문, base-uri 및 frame-ancestors 누락, 스크립트 소스의 blob:, 와일드카드 connect-src, 보고 설정, Report-Only 정책, meta 태그의 제약.
입력 형식
원본 정책, Content-Security-Policy 또는 Content-Security-Policy-Report-Only 헤더 줄(전체 응답 헤더 덤프 안에 있어도 됨), Nginx add_header 지시문, Apache Header set 줄 또는 HTML meta 태그를 붙여넣으세요. 여러 정책이 발견되면 브라우저가 모두 함께 적용하므로 각각 따로 분석합니다.
보안 수준 등급
등급은 100점에서 시작해 발견 사항마다 감점합니다: 높음 30, 구문 오류 20, 중간 15, 높음 가능성 15, 중간 가능성 8, strict CSP 제안 5. 같은 유형의 발견 사항은 지시문마다 한 번만 계산되며, 높음 가능성과 중간 가능성의 감점은 합쳐서 최대 24점입니다. A는 90점, B는 75점, C는 60점, D는 40점부터입니다. 이 검사 결과의 휴리스틱 요약일 뿐, 페이지가 안전하다는 의미는 아닙니다.
빌더
빌드 모드는 프리셋(엄격한 시작점, 정적 사이트, SPA + API, Report-Only 단계적 도입, 전면 차단 기준선)에서 시작해 각 지시문을 편집하고, 선택적으로 nonce 자리표시자와 strict-dynamic을 추가하며, 헤더 줄, Nginx add_header 지시문 또는 meta 태그로 출력합니다. 생성된 정책은 실시간으로 분석됩니다. 새 정책은 먼저 Report-Only 모드로 도입하세요.
개인정보 보호
정책은 브라우저 안에서 파싱하고 분석합니다. 붙여넣은 텍스트는 저장되거나 URL에 추가되거나 서버로 전송되지 않으며, 선택한 모드와 출력 형식만 이 기기에 기억됩니다.
