Générateur et évaluateur CSP

• Générateur
• Évaluateur

• Générateur
• Évaluateur
• Partir d'un préréglage
• Strict (basé sur nonce)
• Équilibré
• Même origine uniquement
• Google Analytics / Tag Manager
• Directives
• Sources séparées par des espaces, par ex. 'self' https://cdn.example.com
• Mettre à niveau les requêtes non sécurisées
• Mode rapport seul (consigner les violations, ne pas bloquer)
• Nouveau nonce
• En-tête HTTP
• Balise meta HTML
• Nginx
• Apache
• Copier
• Copié
• Une balise meta ne peut pas définir frame-ancestors, report-uri ou sandbox, ni être en rapport seul.
• Générez un nouveau nonce pour chaque réponse et placez-le sur chaque balise script autorisée.
• Collez une Content-Security-Policy à évaluer
• Évaluer
• Charger un exemple faible
• Score de la politique
• Problème
• Avertissement
• Remarque
• Bon
• Collez ou créez d'abord une politique.
• Constats
• Ni script-src ni default-src : les scripts ne sont pas du tout restreints.
• {d} autorise 'unsafe-inline', ce qui permet l'exécution de scripts en ligne injectés. Utilisez plutôt des nonces ou des hachages.
• {d} contient 'unsafe-inline' mais aussi un nonce ou un hachage : les navigateurs modernes ignorent 'unsafe-inline'. Acceptable en repli.
• {d} autorise 'unsafe-eval', ce qui permet eval() et des appels similaires qui transforment du texte en code.
• {d} contient * et autorise le contenu de n'importe quel hôte.
• {d} autorise les URL data:, que les attaquants peuvent utiliser pour exécuter des scripts.
• {d} autorise des sources http: non sécurisées ({v}).
• {d} autorise n'importe quel hôte https:, ce qui est très large.
• {d} autorise {v}, un hôte partagé connu pour servir des gadgets de script pouvant permettre des contournements.
• object-src n'est pas restreint. Définissez object-src 'none' pour bloquer les plugins.
• base-uri est absent. Définissez base-uri 'self' ou 'none' pour empêcher l'injection de balise base.
• frame-ancestors est absent : d'autres sites peuvent intégrer cette page (clickjacking). Utilisez 'self' ou 'none'.
• form-action est absent : les formulaires peuvent envoyer vers n'importe quel site.
• Envisagez upgrade-insecure-requests pour que le contenu mixte se charge en HTTPS.
• Pas de directive report-uri ou report-to : vous ne serez pas informé des violations.
• {v} dans {d} nécessite des apostrophes, sinon il est traité comme un nom d'hôte.
• Directive inconnue : {d}.
• La directive {d} apparaît plusieurs fois ; seule la première est utilisée.
• 'strict-dynamic' avec nonce ou hachage : une politique de scripts moderne et solide.
• default-src vaut 'none' ou 'self' : une base restrictive.
• object-src 'none' bloque les plugins. Bien.
• script-src utilise des nonces ou des hachages plutôt que d'autoriser des hôtes entiers. Bien.
• La politique est vide.

• Envoyer le résultat vers…
• Rien à envoyer pour l'instant.
• Résultat reçu de {tool}
• Annuler
• Fermer