Constructor y evaluador de CSP

• Constructor
• Evaluador

• Constructor
• Evaluador
• Empezar desde un ajuste preestablecido
• Estricto (basado en nonce)
• Equilibrado
• Solo el mismo origen
• Google Analytics / Tag Manager
• Directivas
• Fuentes separadas por espacios, p. ej. 'self' https://cdn.example.com
• Actualizar solicitudes inseguras
• Modo solo informe (registrar infracciones, sin bloquear)
• Nuevo nonce
• Cabecera HTTP
• Etiqueta meta HTML
• Nginx
• Apache
• Copiar
• Copiado
• Una etiqueta meta no puede establecer frame-ancestors, report-uri ni sandbox, ni ser solo informe.
• Genera un nonce nuevo en cada respuesta y colócalo en cada etiqueta script permitida.
• Pega una Content-Security-Policy para evaluarla
• Evaluar
• Cargar un ejemplo débil
• Puntuación de la política
• Problema
• Advertencia
• Nota
• Bueno
• Pega o crea primero una política.
• Hallazgos
• No hay script-src ni default-src: los scripts no están restringidos en absoluto.
• {d} permite 'unsafe-inline', lo que deja ejecutar scripts en línea inyectados. Usa nonces o hashes en su lugar.
• {d} tiene 'unsafe-inline' pero también un nonce o hash, así que los navegadores modernos ignoran 'unsafe-inline'. Aceptable como respaldo.
• {d} permite 'unsafe-eval', lo que admite eval() y llamadas similares que convierten texto en código.
• {d} contiene * y permite contenido de cualquier host.
• {d} permite URL data:, que los atacantes pueden usar para ejecutar scripts.
• {d} permite fuentes http: inseguras ({v}).
• {d} permite cualquier host https:, lo cual es muy amplio.
• {d} permite {v}, un host compartido conocido por servir gadgets de script que pueden permitir evasiones.
• object-src no está restringido. Establece object-src 'none' para bloquear plugins.
• Falta base-uri. Establece base-uri 'self' o 'none' para evitar la inyección de etiquetas base.
• Falta frame-ancestors, así que otros sitios pueden incrustar esta página (clickjacking). Usa 'self' o 'none'.
• Falta form-action, así que los formularios pueden enviar a cualquier sitio.
• Considera upgrade-insecure-requests para que el contenido mixto se cargue por HTTPS.
• No hay directiva report-uri ni report-to, así que no te enterarás de las infracciones.
• {v} en {d} necesita comillas simples; de lo contrario se trata como un nombre de host.
• Directiva desconocida: {d}.
• La directiva {d} aparece más de una vez; solo se usa la primera.
• 'strict-dynamic' con nonce o hash: una política de scripts moderna y sólida.
• default-src es 'none' o 'self': una base restrictiva.
• object-src 'none' bloquea plugins. Bien.
• script-src usa nonces o hashes en lugar de permitir hosts completos. Bien.
• La política está vacía.

• Enviar la salida a…
• Todavía no hay nada que enviar.
• Salida recibida de {tool}
• Deshacer
• Descartar