CSP-Generator & Bewertung

• Builder
• Evaluator

• Builder
• Evaluator
• Mit einer Vorlage beginnen
• Streng (nonce-basiert)
• Ausgewogen
• Nur gleicher Ursprung
• Google Analytics / Tag Manager
• Direktiven
• Durch Leerzeichen getrennte Quellen, z. B. 'self' https://cdn.example.com
• Unsichere Anfragen aufwerten
• Nur-Bericht-Modus (Verstöße protokollieren, nicht blockieren)
• Neuer Nonce
• HTTP-Header
• HTML-Meta-Tag
• Nginx
• Apache
• Kopieren
• Kopiert
• Ein Meta-Tag kann frame-ancestors, report-uri oder sandbox nicht setzen und nicht nur berichten.
• Erzeuge für jede Antwort einen neuen Nonce und setze ihn auf jedes erlaubte Script-Tag.
• Füge eine zu bewertende Content-Security-Policy ein
• Bewerten
• Schwaches Beispiel laden
• Richtlinien-Wert
• Problem
• Warnung
• Hinweis
• Gut
• Füge zuerst eine Richtlinie ein oder erstelle eine.
• Ergebnisse
• Weder script-src noch default-src: Skripte sind überhaupt nicht eingeschränkt.
• {d} erlaubt 'unsafe-inline', wodurch eingeschleuste Inline-Skripte laufen können. Verwende stattdessen Nonces oder Hashes.
• {d} hat 'unsafe-inline', aber auch einen Nonce oder Hash, daher ignorieren moderne Browser 'unsafe-inline'. Als Fallback in Ordnung.
• {d} erlaubt 'unsafe-eval', was eval() und ähnliche String-zu-Code-Aufrufe zulässt.
• {d} enthält * und erlaubt Inhalte von jedem Host.
• {d} erlaubt data:-URLs, mit denen Angreifer Skripte ausführen können.
• {d} erlaubt unsichere http:-Quellen ({v}).
• {d} erlaubt jeden https:-Host, was sehr weit gefasst ist.
• {d} erlaubt {v}, einen geteilten Host, der bekanntermaßen Script-Gadgets ausliefert und Umgehungen ermöglichen kann.
• object-src ist nicht eingeschränkt. Setze object-src 'none', um Plugins zu blockieren.
• base-uri fehlt. Setze base-uri 'self' oder 'none', um Base-Tag-Injection zu verhindern.
• frame-ancestors fehlt, daher können andere Seiten diese Seite einbetten (Clickjacking). Verwende 'self' oder 'none'.
• form-action fehlt, daher können Formulare an jede Seite senden.
• Erwäge upgrade-insecure-requests, damit gemischte Inhalte über HTTPS geladen werden.
• Keine report-uri- oder report-to-Direktive, daher erfährst du nichts von Verstößen.
• {v} in {d} braucht einfache Anführungszeichen, sonst wird es als Hostname behandelt.
• Unbekannte Direktive: {d}.
• Die Direktive {d} kommt mehrfach vor; nur die erste wird verwendet.
• 'strict-dynamic' mit Nonce oder Hash: eine moderne, starke Skript-Richtlinie.
• default-src ist 'none' oder 'self': eine restriktive Grundlage.
• object-src 'none' blockiert Plugins. Gut.
• script-src nutzt Nonces oder Hashes statt ganze Hosts zu erlauben. Gut.
• Die Richtlinie ist leer.

• Ausgabe senden an …
• Noch nichts zu senden.
• Ausgabe von {tool} erhalten
• Rückgängig
• Schließen