Construtor e avaliador de CSP

• Construtor
• Avaliador

• Construtor
• Avaliador
• Começar de uma predefinição
• Estrito (baseado em nonce)
• Equilibrado
• Somente a mesma origem
• Google Analytics / Tag Manager
• Diretivas
• Origens separadas por espaço, por exemplo 'self' https://cdn.example.com
• Atualizar solicitações inseguras
• Modo somente relatório (registrar violações, sem bloquear)
• Novo nonce
• Cabeçalho HTTP
• Tag meta HTML
• Nginx
• Apache
• Copiar
• Copiado
• Uma tag meta não pode definir frame-ancestors, report-uri nem sandbox, nem ser somente relatório.
• Gere um nonce novo para cada resposta e coloque-o em cada tag script permitida.
• Cole uma Content-Security-Policy para avaliar
• Avaliar
• Carregar um exemplo fraco
• Pontuação da política
• Problema
• Aviso
• Nota
• Bom
• Cole ou crie primeiro uma política.
• Resultados
• Sem script-src nem default-src: os scripts não têm nenhuma restrição.
• {d} permite 'unsafe-inline', o que deixa scripts inline injetados rodarem. Use nonces ou hashes no lugar.
• {d} tem 'unsafe-inline', mas também um nonce ou hash, então navegadores modernos ignoram 'unsafe-inline'. Aceitável como alternativa.
• {d} permite 'unsafe-eval', o que habilita eval() e chamadas semelhantes que transformam texto em código.
• {d} contém * e permite conteúdo de qualquer host.
• {d} permite URLs data:, que atacantes podem usar para executar scripts.
• {d} permite origens http: inseguras ({v}).
• {d} permite qualquer host https:, o que é muito amplo.
• {d} permite {v}, um host compartilhado conhecido por servir gadgets de script que podem permitir contornos.
• object-src não está restrito. Defina object-src 'none' para bloquear plugins.
• base-uri está ausente. Defina base-uri 'self' ou 'none' para impedir injeção de tag base.
• frame-ancestors está ausente, então outros sites podem incorporar esta página (clickjacking). Use 'self' ou 'none'.
• form-action está ausente, então formulários podem enviar para qualquer site.
• Considere upgrade-insecure-requests para que conteúdo misto carregue via HTTPS.
• Sem diretiva report-uri ou report-to, você não saberá das violações.
• {v} em {d} precisa de aspas simples; caso contrário é tratado como nome de host.
• Diretiva desconhecida: {d}.
• A diretiva {d} aparece mais de uma vez; só a primeira é usada.
• 'strict-dynamic' com nonce ou hash: uma política de scripts moderna e forte.
• default-src é 'none' ou 'self': uma base restritiva.
• object-src 'none' bloqueia plugins. Bom.
• script-src usa nonces ou hashes em vez de permitir hosts inteiros. Bom.
• A política está vazia.

• Enviar saída para…
• Nada para enviar ainda.
• Saída recebida de {tool}
• Desfazer
• Dispensar