Generatore e valutatore CSP

Funziona nel tuo browser: non viene caricato nulla

Parti da un preset

Direttive

Aggiorna le richieste non sicure

Modalità solo report (registra le violazioni, non bloccare)

Genera un nuovo nonce per ogni risposta e mettilo su ogni tag script consentito.

Generatore
Valutatore
Parti da un preset
Rigido (basato su nonce)
Bilanciato
Solo stessa origine
Google Analytics / Tag Manager
Direttive
Sorgenti separate da spazi, ad esempio 'self' https://cdn.example.com
Aggiorna le richieste non sicure
Modalità solo report (registra le violazioni, non bloccare)
Nuovo nonce
Header HTTP
Tag meta HTML
Nginx
Apache
Copia
Copiato
Un tag meta non può impostare frame-ancestors, report-uri o sandbox e non può essere solo report.
Genera un nuovo nonce per ogni risposta e mettilo su ogni tag script consentito.
Incolla una Content-Security-Policy da valutare
Valuta
Carica un esempio debole
Punteggio della policy
Problema
Avviso
Nota
Buono
Incolla o crea prima una policy.
Risultati
Né script-src né default-src: gli script non sono per nulla limitati.
{d} consente 'unsafe-inline', che permette l'esecuzione di script inline iniettati. Usa invece nonce o hash.
{d} ha 'unsafe-inline' ma anche un nonce o un hash, quindi i browser moderni ignorano 'unsafe-inline'. Va bene come ripiego.
{d} consente 'unsafe-eval', che permette eval() e chiamate simili che trasformano stringhe in codice.
{d} contiene * e consente contenuti da qualsiasi host.
{d} consente URL data:, che gli aggressori possono usare per eseguire script.
{d} consente sorgenti http: non sicure ({v}).
{d} consente qualsiasi host https:, che è molto ampio.
{d} consente {v}, un host condiviso noto per servire script gadget che possono permettere bypass.
object-src non è limitato. Imposta object-src 'none' per bloccare i plugin.
Manca base-uri. Imposta base-uri 'self' o 'none' per impedire l'iniezione del tag base.
Manca frame-ancestors, quindi altri siti possono incorporare questa pagina (clickjacking). Usa 'self' o 'none'.
Manca form-action, quindi i moduli possono inviare dati a qualsiasi sito.
Valuta upgrade-insecure-requests per caricare i contenuti misti tramite HTTPS.
Nessuna direttiva report-uri o report-to, quindi non saprai delle violazioni.
{v} in {d} richiede apici singoli, altrimenti viene trattato come nome host.
Direttiva sconosciuta: {d}.
La direttiva {d} compare più volte; viene usata solo la prima.
'strict-dynamic' con nonce o hash: una policy script moderna e solida.
default-src è 'none' o 'self': una base restrittiva.
object-src 'none' blocca i plugin. Bene.
script-src usa nonce o hash invece di consentire interi host. Bene.
La policy è vuota.

Informazioni su questo strumento

Crea un header Content-Security-Policy con preset e caselle, oppure incolla una policy esistente per trovare punti deboli come 'unsafe-inline', caratteri jolly e direttive mancanti. Ottieni un punteggio, risultati in linguaggio semplice e snippet pronti da copiare per l'header HTTP, un tag meta, Nginx e Apache. Tutto viene eseguito nel tuo browser.

Domande frequenti

Che cos'è Generatore e valutatore CSP?

Crea una Content-Security-Policy e trova i punti deboli di una esistente. È uno degli strumenti Sicurezza di MyCodeTips.

Come si usa Generatore e valutatore CSP?

Apri lo strumento, inserisci o incolla i dati e il risultato appare subito. Usa il pulsante Copia per copiarlo.

Generatore e valutatore CSP è gratuito?

Sì. È gratuito e non richiede un account.

I miei dati sono al sicuro con Generatore e valutatore CSP?

Sì. Funziona interamente nel tuo browser, quindi ciò che inserisci non viene mai caricato sui nostri server.

Posso condividere il mio risultato?

Sì. Usa i pulsanti di condivisione sotto lo strumento per pubblicare un link o copiare il link alla pagina.

Quali strumenti sono correlati a Generatore e valutatore CSP?

Analizzatore intestazioni HTTP, Generatore di hash.

Related tools

Analizzatore intestazioni HTTP

Generatore di hash