CSP 빌더 및 평가기

브라우저에서 실행됩니다 — 아무것도 업로드되지 않습니다

프리셋으로 시작

지시문

안전하지 않은 요청 업그레이드

보고 전용 모드(위반 기록, 차단 안 함)

응답마다 새 nonce를 생성해 허용할 각 script 태그에 넣으세요.

빌더
평가기
프리셋으로 시작
엄격(nonce 기반)
균형
동일 출처만
Google Analytics / Tag Manager
지시문
공백으로 구분한 소스, 예: 'self' https://cdn.example.com
안전하지 않은 요청 업그레이드
보고 전용 모드(위반 기록, 차단 안 함)
새 nonce
HTTP 헤더
HTML meta 태그
Nginx
Apache
복사
복사됨
meta 태그로는 frame-ancestors, report-uri, sandbox를 설정할 수 없고 보고 전용으로도 쓸 수 없습니다.
응답마다 새 nonce를 생성해 허용할 각 script 태그에 넣으세요.
평가할 Content-Security-Policy를 붙여넣으세요
평가
취약한 예시 불러오기
정책 점수
문제
경고
참고
양호
먼저 정책을 붙여넣거나 만드세요.
결과
script-src와 default-src가 모두 없어 스크립트가 전혀 제한되지 않습니다.
{d}가 'unsafe-inline'을 허용하여 주입된 인라인 스크립트가 실행될 수 있습니다. 대신 nonce나 해시를 사용하세요.
{d}에 'unsafe-inline'이 있지만 nonce나 해시도 있어 최신 브라우저는 'unsafe-inline'을 무시합니다. 대체 용도로는 괜찮습니다.
{d}가 'unsafe-eval'을 허용하여 eval() 등 문자열을 코드로 실행하는 호출이 가능합니다.
{d}에 *가 포함되어 모든 호스트의 콘텐츠를 허용합니다.
{d}가 data: URL을 허용하며 공격자가 스크립트 실행에 악용할 수 있습니다.
{d}가 안전하지 않은 http: 소스({v})를 허용합니다.
{d}가 모든 https: 호스트를 허용하며 매우 광범위합니다.
{d}가 {v}를 허용합니다. 이는 스크립트 가젯을 제공하는 것으로 알려진 공유 호스트로 우회에 악용될 수 있습니다.
object-src가 제한되지 않았습니다. 플러그인을 차단하려면 object-src 'none'을 설정하세요.
base-uri가 없습니다. base 태그 주입을 막으려면 base-uri 'self' 또는 'none'을 설정하세요.
frame-ancestors가 없어 다른 사이트가 이 페이지를 삽입할 수 있습니다(클릭재킹). 'self' 또는 'none'을 사용하세요.
form-action이 없어 폼이 모든 사이트로 전송될 수 있습니다.
혼합 콘텐츠를 HTTPS로 불러오도록 upgrade-insecure-requests 사용을 고려하세요.
report-uri나 report-to 지시문이 없어 위반 사항을 알 수 없습니다.
{d}의 {v}는 작은따옴표가 필요합니다. 그렇지 않으면 호스트 이름으로 처리됩니다.
알 수 없는 지시문: {d}.
지시문 {d}가 여러 번 나옵니다. 첫 번째만 사용됩니다.
'strict-dynamic'과 nonce 또는 해시: 현대적이고 강력한 스크립트 정책입니다.
default-src가 'none' 또는 'self'입니다. 제한적인 기본 설정입니다.
object-src 'none'은 플러그인을 차단합니다. 좋습니다.
script-src가 호스트 전체를 허용하는 대신 nonce나 해시를 사용합니다. 좋습니다.
정책이 비어 있습니다.

이 도구에 대하여

프리셋과 체크박스로 Content-Security-Policy 헤더를 만들거나, 기존 정책을 붙여넣어 'unsafe-inline', 와일드카드, 누락된 지시문 같은 약점을 찾아보세요. 점수, 쉬운 설명의 결과, HTTP 헤더·meta 태그·Nginx·Apache용 복사 가능한 코드 조각을 제공합니다. 모든 작업은 브라우저에서 실행됩니다.

자주 묻는 질문

CSP 빌더 및 평가기이(가) 무엇인가요?

Content-Security-Policy를 만들고 기존 정책의 약점을 찾아냅니다. MyCodeTips의 보안 도구 중 하나입니다.

CSP 빌더 및 평가기은(는) 어떻게 사용하나요?

도구를 열고 입력하거나 붙여넣으면 결과가 바로 표시됩니다. 복사 버튼으로 결과를 복사하세요.

CSP 빌더 및 평가기은(는) 무료인가요?

네. 무료이며 계정이 필요하지 않습니다.

CSP 빌더 및 평가기에서 내 데이터는 안전한가요?

네. 브라우저에서만 실행되므로 입력한 내용이 서버로 업로드되지 않습니다.

결과를 공유할 수 있나요?

네. 도구 아래의 공유 버튼으로 링크를 게시하거나 도구 페이지 링크를 복사하세요.

CSP 빌더 및 평가기과(와) 관련된 도구는 무엇인가요?

HTTP 헤더 분석기, 해시 생성기.

Related tools

HTTP 헤더 분석기

해시 생성기