เครื่องมือวิเคราะห์และสร้าง CSP

เครื่องมือวิเคราะห์ CSP ใช้การตรวจของ CSP Evaluator แบบโอเพนซอร์สจาก Google สำหรับ unsafe-inline, unsafe-eval, ไวลด์การ์ด, สคีมเปล่า, โฮสต์ที่รู้ว่าเลี่ยงรายการอนุญาตได้, การขาด object-src และ script-src, คุณภาพของ nonce และคำแนะนำ strict CSP อีกชั้นหนึ่งเพิ่มการตรวจที่ evaluator ไม่ครอบคลุม ได้แก่ ไดเรกทีฟซ้ำ, การขาด base-uri และ frame-ancestors, blob: ในแหล่งที่มาของสคริปต์, connect-src แบบไวลด์การ์ด, การตั้งค่ารายงาน, นโยบาย Report-Only และข้อจำกัดของแท็ก meta

วางนโยบายดิบ บรรทัดเฮดเดอร์ Content-Security-Policy หรือ Content-Security-Policy-Report-Only (รวมถึงในเฮดเดอร์การตอบกลับทั้งชุด) คำสั่ง Nginx add_header บรรทัด Apache Header set หรือแท็ก HTML meta เมื่อพบหลายนโยบาย ระบบจะวิเคราะห์แยกกัน เพราะเบราว์เซอร์บังคับใช้ทุกนโยบายพร้อมกัน

เกรดเริ่มที่ 100 และหักคะแนนตามผลการตรวจแต่ละรายการ: สูง 30, ข้อผิดพลาดไวยากรณ์ 20, ปานกลาง 15, อาจเป็นสูง 15, อาจเป็นปานกลาง 8 และคำแนะนำ strict CSP 5 คะแนน ผลการตรวจแต่ละประเภทนับเพียงครั้งเดียวต่อไดเรกทีฟ และอาจเป็นสูงกับอาจเป็นปานกลางรวมกันหักได้ไม่เกิน 24 A เริ่มที่ 90, B ที่ 75, C ที่ 60 และ D ที่ 40 เป็นการสรุปผลการตรวจเหล่านี้แบบฮิวริสติก ไม่ใช่การยืนยันว่าหน้าเว็บปลอดภัย

โหมดสร้างเริ่มจากพรีเซ็ต (จุดเริ่มต้นแบบเข้มงวด, เว็บไซต์สแตติก, SPA + API, ทยอยใช้แบบ Report-Only หรือค่าพื้นฐานแบบปิดทั้งหมด) ให้คุณแก้ไขแต่ละไดเรกทีฟ เพิ่มตัวยึดตำแหน่ง nonce และ strict-dynamic ได้ตามต้องการ และส่งออกเป็นบรรทัดเฮดเดอร์ คำสั่ง Nginx add_header หรือแท็ก meta นโยบายที่สร้างขึ้นจะถูกวิเคราะห์แบบเรียลไทม์ ควรทยอยใช้นโยบายใหม่ในโหมด Report-Only ก่อน

นโยบายถูกแยกวิเคราะห์และวิเคราะห์ในเบราว์เซอร์ของคุณ ข้อความที่วางจะไม่ถูกจัดเก็บ ไม่ถูกเพิ่มลงใน URL และไม่ถูกส่งไปยังเซิร์ฟเวอร์ อุปกรณ์นี้จะจดจำเฉพาะโหมดและรูปแบบเอาต์พุตที่เลือกไว้