CSP 分析器與產生器
檢查 Content-Security-Policy 的弱點，或產生穩健的起始政策
輸入
原始政策、回應標頭、Nginx add_header、Apache Header set 或 HTML meta 標籤。
結果
詳細資料
檢查項目
CSP 分析器會執行 Google 開源的 CSP Evaluator 檢查，涵蓋 unsafe-inline、unsafe-eval、萬用字元、僅通訊協定的來源、已知的允許清單繞過主機、缺少的 object-src 與 script-src、nonce 品質，以及 strict CSP 建議。第二層檢查補足 Evaluator 未涵蓋的項目：重複的指令、缺少的 base-uri 與 frame-ancestors、指令碼來源中的 blob:、萬用字元 connect-src、報告設定、Report-Only 政策，以及 meta 標籤的限制。
輸入格式
可貼上原始政策、Content-Security-Policy 或 Content-Security-Policy-Report-Only 標頭行（也可位於完整的回應標頭傾印中）、Nginx add_header 指令、Apache Header set 行或 HTML meta 標籤。找到多個政策時，會分別分析每一個，因為瀏覽器會同時執行所有政策。
態勢評等
評等從 100 分開始，依每項結果扣分：高風險 30，語法錯誤 20，中風險 15，可能高風險 15，可能中風險 8，strict CSP 建議 5。同類結果在每個指令只計算一次，可能高風險與可能中風險合計最多扣 24 分。90 分起為 A，75 分起為 B，60 分起為 C，40 分起為 D。這是對上述檢查的啟發式彙整，並不代表頁面是安全的。
產生器
產生模式從預設範本開始（嚴格起點、靜態網站、SPA + API 應用程式、Report-Only 分階段上線或全面鎖定基準），可編輯每個指令，選擇性加入 nonce 預留位置與 strict-dynamic，並輸出標頭行、Nginx add_header 指令或 meta 標籤。產生的政策會即時分析。新政策請先以 Report-Only 模式上線。
隱私權
政策會在你的瀏覽器中剖析與分析。貼上的文字不會被儲存、加入網址或傳送到伺服器；只有所選的模式與輸出格式會記在此裝置上。
