Анализатор и генератор CSP

Анализатор CSP выполняет проверки открытого CSP Evaluator от Google: unsafe-inline, unsafe-eval, подстановочные знаки, голые схемы, известные хосты для обхода списков разрешённых, отсутствие object-src и script-src, качество nonce и рекомендации по строгой CSP. Второй уровень добавляет проверки, которых нет в CSP Evaluator: повторяющиеся директивы, отсутствие base-uri и frame-ancestors, blob: в источниках скриптов, connect-src с подстановочным знаком, настройку отчётов, политики Report-Only и ограничения мета-тега.

Вставьте исходную политику, строки заголовков Content-Security-Policy или Content-Security-Policy-Report-Only (в том числе внутри полного дампа заголовков ответа), директиву Nginx add_header, строку Apache Header set или мета-тег HTML. Если найдено несколько политик, каждая анализируется отдельно, поскольку браузеры применяют их все вместе.

Оценка начинается со 100 и уменьшается за каждое замечание: высокий 30, синтаксическая ошибка 20, средний 15, возможно высокий 15, возможно средний 8 и рекомендация строгой CSP 5. Каждый тип замечания учитывается один раз на директиву, а «возможно высокий» и «возможно средний» вместе снижают оценку не более чем на 24. A начинается с 90, B с 75, C с 60 и D с 40. Это эвристическая сводка этих проверок, а не утверждение, что страница безопасна.

Режим генерации начинается с шаблона (Строгая отправная точка, Статический сайт, SPA и API, Внедрение в режиме Report-Only или Максимально закрытая база), позволяет редактировать каждую директиву, добавляет необязательный заполнитель nonce и strict-dynamic и выдаёт строку заголовка, директиву Nginx add_header или мета-тег. Сгенерированная политика анализируется на лету. Новые политики сначала внедряйте в режиме Report-Only.

Политики разбираются и анализируются в вашем браузере. Вставленный текст не сохраняется, не добавляется в URL и не отправляется на сервер; на этом устройстве запоминаются только выбранный режим и формат вывода.