Konstruktor i ewaluator CSP

• Konstruktor
• Ewaluator

• Konstruktor
• Ewaluator
• Zacznij od gotowego ustawienia
• Ścisły (oparty na nonce)
• Zrównoważony
• Tylko ten sam origin
• Google Analytics / Tag Manager
• Dyrektywy
• Źródła oddzielone spacjami, np. 'self' https://cdn.example.com
• Uaktualniaj niezabezpieczone żądania
• Tryb tylko raportowania (rejestruj naruszenia, nie blokuj)
• Nowy nonce
• Nagłówek HTTP
• Znacznik meta HTML
• Nginx
• Apache
• Kopiuj
• Skopiowano
• Znacznik meta nie może ustawić frame-ancestors, report-uri ani sandbox i nie może działać tylko w trybie raportowania.
• Generuj nowy nonce dla każdej odpowiedzi i umieszczaj go w każdym dozwolonym znaczniku script.
• Wklej Content-Security-Policy do oceny
• Oceń
• Wczytaj słaby przykład
• Wynik polityki
• Problem
• Ostrzeżenie
• Uwaga
• Dobry
• Najpierw wklej lub utwórz politykę.
• Ustalenia
• Brak script-src i default-src: skrypty nie są w ogóle ograniczone.
• {d} zezwala na 'unsafe-inline', co pozwala uruchamiać wstrzyknięte skrypty inline. Zamiast tego użyj nonce lub skrótów.
• {d} ma 'unsafe-inline', ale też nonce lub skrót, więc nowoczesne przeglądarki ignorują 'unsafe-inline'. Jako rozwiązanie awaryjne jest w porządku.
• {d} zezwala na 'unsafe-eval', co dopuszcza eval() i podobne wywołania zamieniające tekst w kod.
• {d} zawiera * i dopuszcza treści z dowolnego hosta.
• {d} zezwala na adresy data:, których atakujący mogą użyć do uruchamiania skryptów.
• {d} zezwala na niezabezpieczone źródła http: ({v}).
• {d} zezwala na dowolny host https:, co jest bardzo szerokie.
• {d} zezwala na {v}, współdzielony host znany z udostępniania gadżetów skryptowych, które mogą umożliwiać obejścia.
• object-src nie jest ograniczony. Ustaw object-src 'none', aby blokować wtyczki.
• Brak base-uri. Ustaw base-uri 'self' lub 'none', aby zapobiec wstrzyknięciu znacznika base.
• Brak frame-ancestors, więc inne witryny mogą osadzać tę stronę (clickjacking). Użyj 'self' lub 'none'.
• Brak form-action, więc formularze mogą wysyłać dane na dowolną witrynę.
• Rozważ upgrade-insecure-requests, aby treści mieszane ładowały się przez HTTPS.
• Brak dyrektywy report-uri lub report-to, więc nie dowiesz się o naruszeniach.
• {v} w {d} wymaga apostrofów, w przeciwnym razie jest traktowane jak nazwa hosta.
• Nieznana dyrektywa: {d}.
• Dyrektywa {d} występuje więcej niż raz; używana jest tylko pierwsza.
• 'strict-dynamic' z nonce lub skrótem: nowoczesna, silna polityka skryptów.
• default-src to 'none' lub 'self': restrykcyjna baza.
• object-src 'none' blokuje wtyczki. Dobrze.
• script-src używa nonce lub skrótów zamiast zezwalać na całe hosty. Dobrze.
• Polityka jest pusta.

• Wyślij wynik do…
• Na razie nie ma nic do wysłania.
• Otrzymano wynik z narzędzia {tool}
• Cofnij
• Zamknij