בונה ומעריך CSP

רץ בדפדפן שלכם — דבר אינו מועלה

התחל מתבנית מוכנה

הנחיות

שדרג בקשות לא מאובטחות

מצב דיווח בלבד (תיעוד הפרות ללא חסימה)

צרו nonce חדש לכל תגובה והציבו אותו בכל תג script מותר.

בונה
מעריך
התחל מתבנית מוכנה
קפדני (מבוסס nonce)
מאוזן
אותו מקור בלבד
Google Analytics / Tag Manager
הנחיות
מקורות מופרדים ברווחים, לדוגמה 'self' https://cdn.example.com
שדרג בקשות לא מאובטחות
מצב דיווח בלבד (תיעוד הפרות ללא חסימה)
nonce חדש
כותרת HTTP
תג meta של HTML
Nginx
Apache
העתקה
הועתק
תג meta אינו יכול להגדיר frame-ancestors, report-uri או sandbox, ואינו יכול להיות לדיווח בלבד.
צרו nonce חדש לכל תגובה והציבו אותו בכל תג script מותר.
הדביקו Content-Security-Policy להערכה
הערך
טען דוגמה חלשה
ציון המדיניות
בעיה
אזהרה
הערה
טוב
הדביקו או בנו מדיניות תחילה.
ממצאים
אין script-src או default-src: סקריפטים אינם מוגבלים כלל.
{d} מתיר 'unsafe-inline', מה שמאפשר הרצת סקריפטים מוטמעים שהוזרקו. השתמשו ב-nonce או בגיבובים במקום.
ב-{d} יש 'unsafe-inline' וגם nonce או גיבוב, ולכן דפדפנים מודרניים מתעלמים מ-'unsafe-inline'. מקובל כגיבוי.
{d} מתיר 'unsafe-eval', המאפשר eval() וקריאות דומות להפיכת מחרוזת לקוד.
{d} מכיל * ומתיר תוכן מכל מארח.
{d} מתיר כתובות data: שתוקפים יכולים להשתמש בהן להרצת סקריפטים.
{d} מתיר מקורות http: לא מאובטחים ({v}).
{d} מתיר כל מארח https:, וזה רחב מאוד.
{d} מתיר את {v}, מארח משותף הידוע כמגיש גאדג'טים של סקריפטים שעלולים לאפשר עקיפות.
object-src אינו מוגבל. הגדירו object-src 'none' כדי לחסום תוספים.
base-uri חסר. הגדירו base-uri 'self' או 'none' כדי למנוע הזרקת תג base.
frame-ancestors חסר, ולכן אתרים אחרים יכולים להטמיע את הדף (clickjacking). השתמשו ב-'self' או 'none'.
form-action חסר, ולכן טפסים יכולים לשלוח לכל אתר.
שקלו upgrade-insecure-requests כדי שתוכן מעורב ייטען דרך HTTPS.
אין הנחיית report-uri או report-to, ולכן לא תדעו על הפרות.
‏{v} ב-{d} דורש גרשיים בודדים, אחרת הוא נחשב לשם מארח.
הנחיה לא מוכרת: {d}.
ההנחיה {d} מופיעה יותר מפעם אחת; רק הראשונה בשימוש.
'strict-dynamic' עם nonce או גיבוב: מדיניות סקריפטים מודרנית וחזקה.
default-src הוא 'none' או 'self': בסיס מגביל.
object-src 'none' חוסם תוספים. מצוין.
script-src משתמש ב-nonce או בגיבובים במקום להתיר מארחים שלמים. מצוין.
המדיניות ריקה.

על הכלי הזה

בנו כותרת Content-Security-Policy עם תבניות ותיבות סימון, או הדביקו מדיניות קיימת כדי למצוא חולשות כמו 'unsafe-inline', תווים כלליים והנחיות חסרות. תקבלו ציון, ממצאים בשפה פשוטה וקטעי קוד מוכנים להעתקה עבור כותרת HTTP, תג meta, Nginx ו-Apache. הכול רץ בדפדפן שלכם.

שאלות נפוצות

מהו בונה ומעריך CSP?

בנו Content-Security-Policy ומצאו חולשות במדיניות קיימת. זהו אחד מכלי אבטחה ב-MyCodeTips.

איך משתמשים ב-בונה ומעריך CSP?

פתחו את הכלי, הזינו או הדביקו את הקלט והתוצאה תופיע מיד. השתמשו בכפתור ההעתקה כדי להעתיק אותה.

האם בונה ומעריך CSP חינמי?

כן. השימוש חינמי ואינו דורש חשבון.

האם הנתונים שלי בטוחים ב-בונה ומעריך CSP?

כן. הכלי פועל כולו בדפדפן שלכם, ולכן מה שמזינים לעולם אינו מועלה לשרתים שלנו.

האם אפשר לשתף את התוצאה שלי?

כן. השתמשו בכפתורי השיתוף שמתחת לכלי כדי לפרסם קישור או להעתיק קישור לעמוד הכלי.

אילו כלים קשורים ל-בונה ומעריך CSP?

מנתח כותרות HTTP, מחולל גיבובים.

Related tools

מנתח כותרות HTTP

מחולל גיבובים