Analizador de políticas CSP
Pegue una cabecera Content-Security-Policy para detectar las directivas permisivas o ausentes (unsafe-inline, unsafe-eval, comodines *, directivas clave que faltan). El análisis se realiza íntegramente en su navegador.
Cómo funciona
La Content-Security-Policy (CSP) es una cabecera HTTP que restringe las fuentes autorizadas para cargar o ejecutar contenido en una página (scripts, estilos, imágenes, fuentes tipográficas...), con el fin de limitar el impacto de una vulnerabilidad XSS. Esta herramienta divide la cabecera pegada directiva por directiva y aplica una lista de reglas heurísticas habituales para detectar configuraciones demasiado permisivas.
¿Por qué se señala 'unsafe-inline' como peligroso?
Con 'unsafe-inline', cualquier script inyectado directamente en el HTML (por ejemplo, mediante una vulnerabilidad XSS) se ejecuta con normalidad: la CSP deja de bloquear casi nada en este aspecto concreto, lo que anula buena parte del interés de la protección para los scripts en línea.
¿Esta herramienta verifica la CSP que realmente aplica mi sitio?
No: analiza únicamente el texto que usted pega. Para verificar la CSP que su servidor envía realmente, inspeccione las cabeceras de respuesta HTTP en las herramientas para desarrolladores de su navegador (pestaña Red) y pegue aquí el valor.
Privacidad: el análisis se realiza íntegramente en su navegador; la política pegada nunca se envía a un servidor.