CSP-Richtlinie analysieren

Fügen Sie einen Content-Security-Policy-Header ein, um zu großzügige oder fehlende Direktiven zu erkennen (unsafe-inline, unsafe-eval, Wildcards *, fehlende Schlüsseldirektiven). Die Analyse erfolgt vollständig in Ihrem Browser.

Beispiel:

So funktioniert es

Die Content-Security-Policy (CSP) ist ein HTTP-Header, der einschränkt, aus welchen Quellen Inhalte auf einer Seite geladen oder ausgeführt werden dürfen (Skripte, Stile, Bilder, Schriftarten ...), um die Auswirkungen einer XSS-Schwachstelle zu begrenzen. Dieses Werkzeug zerlegt den eingefügten Header Direktive für Direktive und wendet eine Liste gängiger heuristischer Regeln an, um zu großzügige Konfigurationen zu erkennen.

Warum wird 'unsafe-inline' als gefährlich markiert?

Mit 'unsafe-inline' wird jedes direkt ins HTML eingeschleuste Skript (zum Beispiel über eine XSS-Schwachstelle) ganz normal ausgeführt – die CSP blockiert in diesem Punkt dann kaum noch etwas, was einen Großteil des Schutzes für Inline-Skripte zunichtemacht.

Prüft dieses Werkzeug die tatsächlich von meiner Website angewendete CSP?

Nein: Es analysiert ausschließlich den Text, den Sie einfügen. Um die tatsächlich von Ihrem Server gesendete CSP zu prüfen, sehen Sie sich die HTTP-Antwort-Header in den Entwicklerwerkzeugen Ihres Browsers an (Registerkarte Netzwerk) und fügen den Wert hier ein.

Datenschutz: Die Analyse erfolgt vollständig in Ihrem Browser – die eingefügte Richtlinie wird nie an einen Server gesendet.