منشئ ومقيِّم CSP

• المنشئ
• المقيِّم

• المنشئ
• المقيِّم
• ابدأ من إعداد جاهز
• صارم (قائم على nonce)
• متوازن
• المصدر نفسه فقط
• Google Analytics / Tag Manager
• التوجيهات
• مصادر مفصولة بمسافات، مثل 'self' https://cdn.example.com
• ترقية الطلبات غير الآمنة
• وضع التقارير فقط (تسجيل المخالفات دون حظر)
• nonce جديد
• رأس HTTP
• وسم meta في HTML
• Nginx
• Apache
• نسخ
• تم النسخ
• لا يمكن لوسم meta ضبط frame-ancestors أو report-uri أو sandbox، ولا يمكن أن يكون للتقارير فقط.
• أنشئ nonce جديدًا لكل استجابة وضعه على كل وسم script مسموح.
• الصق Content-Security-Policy لتقييمها
• تقييم
• تحميل مثال ضعيف
• درجة السياسة
• مشكلة
• تحذير
• ملاحظة
• جيد
• الصق سياسة أو أنشئ واحدة أولًا.
• النتائج
• لا يوجد script-src أو default-src: السكربتات غير مقيّدة إطلاقًا.
• {d} يسمح بـ 'unsafe-inline' مما يتيح تشغيل السكربتات المضمّنة المحقونة. استخدم nonce أو التجزئات بدلًا من ذلك.
• يحتوي {d} على 'unsafe-inline' ومعه nonce أو تجزئة، لذا تتجاهل المتصفحات الحديثة 'unsafe-inline'. لا بأس به كحل احتياطي.
• {d} يسمح بـ 'unsafe-eval' مما يتيح eval() واستدعاءات مماثلة تحوّل النص إلى شيفرة.
• يحتوي {d} على * ويسمح بالمحتوى من أي مضيف.
• يسمح {d} بعناوين data: التي يمكن للمهاجمين استخدامها لتشغيل السكربتات.
• يسمح {d} بمصادر http: غير آمنة ({v}).
• يسمح {d} بأي مضيف https: وهذا واسع جدًا.
• يسمح {d} بـ {v}، وهو مضيف مشترك معروف بتقديم أدوات سكربت قد تتيح تجاوز الحماية.
• object-src غير مقيّد. اضبط object-src 'none' لحظر الإضافات.
• base-uri مفقود. اضبط base-uri 'self' أو 'none' لمنع حقن وسم base.
• frame-ancestors مفقود، لذا يمكن لمواقع أخرى تضمين هذه الصفحة (clickjacking). استخدم 'self' أو 'none'.
• form-action مفقود، لذا يمكن للنماذج الإرسال إلى أي موقع.
• فكّر في استخدام upgrade-insecure-requests لتحميل المحتوى المختلط عبر HTTPS.
• لا يوجد توجيه report-uri أو report-to، لذا لن تعرف بالمخالفات.
• {v} في {d} يحتاج إلى علامات اقتباس مفردة وإلا فسيُعامل كاسم مضيف.
• توجيه غير معروف: {d}.
• يظهر التوجيه {d} أكثر من مرة؛ يُستخدم الأول فقط.
• 'strict-dynamic' مع nonce أو تجزئة: سياسة سكربتات حديثة وقوية.
• default-src هو 'none' أو 'self': أساس مقيِّد.
• object-src 'none' يحظر الإضافات. جيد.
• يستخدم script-src قيم nonce أو التجزئات بدلًا من السماح بمضيفين كاملين. جيد.
• السياسة فارغة.

• إرسال المخرجات إلى…
• لا يوجد ما يمكن إرساله بعد.
• تم استلام مخرجات من {tool}
• تراجع
• إغلاق