Конструктор и анализатор CSP

Работает в вашем браузере — ничего не загружается

Начать с шаблона

Директивы

Повышать небезопасные запросы

Режим только отчётов (записывать нарушения, не блокировать)

Генерируйте новый nonce для каждого ответа и добавляйте его в каждый разрешённый тег script.

Конструктор
Анализатор
Начать с шаблона
Строгий (на основе nonce)
Сбалансированный
Только тот же источник
Google Analytics / Tag Manager
Директивы
Источники через пробел, например 'self' https://cdn.example.com
Повышать небезопасные запросы
Режим только отчётов (записывать нарушения, не блокировать)
Новый nonce
HTTP-заголовок
HTML-тег meta
Nginx
Apache
Копировать
Скопировано
Тег meta не может задавать frame-ancestors, report-uri и sandbox и не работает в режиме только отчётов.
Генерируйте новый nonce для каждого ответа и добавляйте его в каждый разрешённый тег script.
Вставьте Content-Security-Policy для оценки
Оценить
Загрузить слабый пример
Оценка политики
Проблема
Предупреждение
Заметка
Хорошо
Сначала вставьте или создайте политику.
Выводы
Нет ни script-src, ни default-src: скрипты никак не ограничены.
{d} разрешает 'unsafe-inline', из-за чего могут выполняться внедрённые встроенные скрипты. Используйте nonce или хеши.
В {d} есть 'unsafe-inline', но также nonce или хеш, поэтому современные браузеры игнорируют 'unsafe-inline'. Как запасной вариант допустимо.
{d} разрешает 'unsafe-eval', что допускает eval() и подобные вызовы, превращающие строку в код.
{d} содержит * и разрешает контент с любого хоста.
{d} разрешает URL data:, которые злоумышленники могут использовать для запуска скриптов.
{d} разрешает небезопасные источники http: ({v}).
{d} разрешает любой https:-хост, что очень широко.
{d} разрешает {v} — общий хост, известный раздачей скриптовых гаджетов, которые могут позволить обход защиты.
object-src не ограничен. Задайте object-src 'none', чтобы блокировать плагины.
base-uri отсутствует. Задайте base-uri 'self' или 'none', чтобы предотвратить внедрение тега base.
frame-ancestors отсутствует, поэтому другие сайты могут встраивать эту страницу (кликджекинг). Используйте 'self' или 'none'.
form-action отсутствует, поэтому формы могут отправляться на любой сайт.
Рассмотрите upgrade-insecure-requests, чтобы смешанный контент загружался по HTTPS.
Нет директивы report-uri или report-to, поэтому вы не узнаете о нарушениях.
{v} в {d} нужно взять в одинарные кавычки, иначе оно будет воспринято как имя хоста.
Неизвестная директива: {d}.
Директива {d} встречается несколько раз; используется только первая.
'strict-dynamic' с nonce или хешем: современная и надёжная политика скриптов.
default-src равен 'none' или 'self': строгая основа.
object-src 'none' блокирует плагины. Хорошо.
script-src использует nonce или хеши вместо разрешения целых хостов. Хорошо.
Политика пуста.

Об этом инструменте

Создайте заголовок Content-Security-Policy с помощью шаблонов и флажков или вставьте существующую политику, чтобы найти слабые места: 'unsafe-inline', подстановочные знаки и недостающие директивы. Вы получите оценку, понятные выводы и готовые фрагменты для HTTP-заголовка, тега meta, Nginx и Apache. Всё работает в вашем браузере.

Частые вопросы

Что такое Конструктор и анализатор CSP?

Создайте Content-Security-Policy и найдите слабые места в существующей. Это один из инструментов категории «Безопасность» на MyCodeTips.

Как пользоваться Конструктор и анализатор CSP?

Откройте инструмент, введите или вставьте данные — результат появится сразу. Используйте кнопку «Копировать», чтобы скопировать его.

Бесплатен ли Конструктор и анализатор CSP?

Да. Он бесплатный и не требует учётной записи.

Безопасны ли мои данные в Конструктор и анализатор CSP?

Да. Он работает целиком в вашем браузере, поэтому введённые данные никогда не загружаются на наши серверы.

Можно ли поделиться результатом?

Да. Используйте кнопки «Поделиться» под инструментом, чтобы опубликовать ссылку или скопировать ссылку на страницу.

Какие инструменты связаны с Конструктор и анализатор CSP?

Анализатор HTTP-заголовков, Генератор хешей.

Related tools

Анализатор HTTP-заголовков

Генератор хешей