CSPビルダー&評価

• ビルダー
• 評価ツール

• ビルダー
• 評価ツール
• プリセットから始める
• 厳格(nonceベース)
• バランス型
• 同一オリジンのみ
• Google Analytics / Tag Manager
• ディレクティブ
• スペース区切りのソース(例: 'self' https://cdn.example.com)
• 安全でないリクエストをアップグレード
• レポート専用モード(違反を記録し、ブロックしない)
• 新しいnonce
• HTTPヘッダー
• HTMLのmetaタグ
• Nginx
• Apache
• コピー
• コピーしました
• metaタグではframe-ancestors、report-uri、sandboxを設定できず、レポート専用にもできません。
• レスポンスごとに新しいnonceを生成し、許可する各scriptタグに付けてください。
• 評価するContent-Security-Policyを貼り付けてください
• 評価
• 脆弱な例を読み込む
• ポリシースコア
• 問題
• 警告
• 注意
• 良好
• まずポリシーを貼り付けるか作成してください。
• 検出結果
• script-srcもdefault-srcもないため、スクリプトは全く制限されていません。
• {d} が 'unsafe-inline' を許可しているため、注入されたインラインスクリプトが実行されます。代わりにnonceまたはハッシュを使ってください。
• {d} には 'unsafe-inline' がありますが、nonceまたはハッシュもあるため、最新のブラウザは 'unsafe-inline' を無視します。フォールバックとして問題ありません。
• {d} が 'unsafe-eval' を許可しているため、eval() など文字列をコードとして実行する呼び出しが可能です。
• {d} に * が含まれており、あらゆるホストのコンテンツを許可しています。
• {d} が data: URLを許可しており、攻撃者がスクリプトの実行に悪用できます。
• {d} が安全でないhttp:ソース({v})を許可しています。
• {d} があらゆるhttps:ホストを許可しており、非常に広範です。
• {d} が {v} を許可しています。これはスクリプトガジェットを配信することで知られる共有ホストで、回避に悪用される可能性があります。
• object-srcが制限されていません。プラグインをブロックするには object-src 'none' を設定してください。
• base-uriがありません。baseタグの注入を防ぐため base-uri 'self' または 'none' を設定してください。
• frame-ancestorsがないため、他のサイトがこのページを埋め込めます(クリックジャッキング)。'self' または 'none' を使ってください。
• form-actionがないため、フォームは任意のサイトに送信できます。
• 混在コンテンツをHTTPSで読み込むため、upgrade-insecure-requests の利用を検討してください。
• report-uriもreport-toもないため、違反の通知を受け取れません。
• {d} の {v} は単一引用符で囲む必要があります。そうしないとホスト名として扱われます。
• 不明なディレクティブ: {d}。
• ディレクティブ {d} が複数あります。最初のものだけが使われます。
• 'strict-dynamic' とnonceまたはハッシュの組み合わせ: 現代的で強力なスクリプトポリシーです。
• default-src が 'none' または 'self' です。制限的な基本設定です。
• object-src 'none' はプラグインをブロックします。良好です。
• script-src はホスト全体を許可せず、nonceまたはハッシュを使っています。良好です。
• ポリシーが空です。

• 出力の送信先…
• まだ送信するものがありません。
• {tool}から出力を受け取りました
• 元に戻す
• 閉じる