CSP Oluşturucu ve Değerlendirici

Tarayıcınızda çalışır — hiçbir şey yüklenmez

Hazır ayardan başla

Yönergeler

Güvenli olmayan istekleri yükselt

Yalnızca rapor modu (ihlalleri kaydet, engelleme)

Her yanıt için yeni bir nonce üretin ve izin verilen her script etiketine ekleyin.

Oluşturucu
Değerlendirici
Hazır ayardan başla
Katı (nonce tabanlı)
Dengeli
Yalnızca aynı kaynak
Google Analytics / Tag Manager
Yönergeler
Boşlukla ayrılmış kaynaklar, ör. 'self' https://cdn.example.com
Güvenli olmayan istekleri yükselt
Yalnızca rapor modu (ihlalleri kaydet, engelleme)
Yeni nonce
HTTP başlığı
HTML meta etiketi
Nginx
Apache
Kopyala
Kopyalandı
Bir meta etiketi frame-ancestors, report-uri veya sandbox ayarlayamaz ve yalnızca rapor modunda olamaz.
Her yanıt için yeni bir nonce üretin ve izin verilen her script etiketine ekleyin.
Değerlendirilecek bir Content-Security-Policy yapıştırın
Değerlendir
Zayıf bir örnek yükle
İlke puanı
Sorun
Uyarı
Not
İyi
Önce bir ilke yapıştırın veya oluşturun.
Bulgular
script-src veya default-src yok: betikler hiç kısıtlanmıyor.
{d}, 'unsafe-inline' izni veriyor; bu, enjekte edilen satır içi betiklerin çalışmasına izin verir. Bunun yerine nonce veya özet kullanın.
{d} içinde 'unsafe-inline' var ama aynı zamanda nonce veya özet de var; modern tarayıcılar 'unsafe-inline'ı yok sayar. Yedek olarak sorun değil.
{d}, 'unsafe-eval' izni veriyor; bu, eval() ve metni koda dönüştüren benzer çağrılara izin verir.
{d} * içeriyor ve her sunucudan içeriğe izin veriyor.
{d}, saldırganların betik çalıştırmak için kullanabileceği data: URL'lerine izin veriyor.
{d}, güvenli olmayan http: kaynaklarına ({v}) izin veriyor.
{d}, herhangi bir https: sunucusuna izin veriyor; bu çok geniş.
{d}, betik araçları sunduğu ve atlatmalara olanak verebildiği bilinen paylaşımlı bir sunucu olan {v} adresine izin veriyor.
object-src kısıtlanmamış. Eklentileri engellemek için object-src 'none' ayarlayın.
base-uri eksik. base etiketi enjeksiyonunu önlemek için base-uri 'self' veya 'none' ayarlayın.
frame-ancestors eksik, bu nedenle diğer siteler bu sayfayı gömebilir (clickjacking). 'self' veya 'none' kullanın.
form-action eksik, bu nedenle formlar herhangi bir siteye gönderilebilir.
Karışık içeriğin HTTPS üzerinden yüklenmesi için upgrade-insecure-requests kullanmayı düşünün.
report-uri veya report-to yönergesi yok, bu nedenle ihlallerden haberiniz olmaz.
{d} içindeki {v} tek tırnak gerektirir, aksi halde sunucu adı olarak işlenir.
Bilinmeyen yönerge: {d}.
{d} yönergesi birden fazla kez geçiyor; yalnızca ilki kullanılır.
nonce veya özetle 'strict-dynamic': modern ve güçlü bir betik ilkesi.
default-src 'none' veya 'self': kısıtlayıcı bir temel.
object-src 'none' eklentileri engeller. İyi.
script-src, tüm sunuculara izin vermek yerine nonce veya özet kullanıyor. İyi.
İlke boş.

Bu araç hakkında

Hazır ayarlar ve onay kutularıyla bir Content-Security-Policy başlığı oluşturun veya mevcut bir ilkeyi yapıştırıp 'unsafe-inline', joker karakterler ve eksik yönergeler gibi zayıflıkları bulun. Puan, sade dilde bulgular ve HTTP başlığı, meta etiketi, Nginx ve Apache için kopyalamaya hazır parçalar alırsınız. Her şey tarayıcınızda çalışır.

Sık sorulan sorular

CSP Oluşturucu ve Değerlendirici nedir?

Bir Content-Security-Policy oluşturun ve mevcut bir ilkedeki zayıflıkları bulun. MyCodeTips üzerindeki Güvenlik araçlarından biridir.

CSP Oluşturucu ve Değerlendirici nasıl kullanılır?

Aracı açın, girdinizi yazın veya yapıştırın; sonuç hemen görünür. Kopyalamak için Kopyala düğmesini kullanın.

CSP Oluşturucu ve Değerlendirici ücretsiz mi?

Evet. Ücretsizdir ve hesap gerektirmez.

CSP Oluşturucu ve Değerlendirici ile verilerim güvende mi?

Evet. Tamamen tarayıcınızda çalışır; girdiğiniz veriler sunucularımıza asla yüklenmez.

Sonucumu paylaşabilir miyim?

Evet. Bir bağlantı paylaşmak veya araç sayfasının bağlantısını kopyalamak için aracın altındaki paylaşım düğmelerini kullanın.

CSP Oluşturucu ve Değerlendirici ile ilgili araçlar hangileri?

HTTP Başlık Analizcisi, Hash Üretici.

Related tools

HTTP Başlık Analizcisi

Hash Üretici