Analisador de política CSP

Cole um cabeçalho Content-Security-Policy para identificar diretivas permissivas ou ausentes (unsafe-inline, unsafe-eval, curingas *, diretivas-chave faltando). A análise é feita inteiramente no seu navegador.

Exemplo:

Como funciona

A Content-Security-Policy (CSP) é um cabeçalho HTTP que restringe as fontes autorizadas a carregar ou executar conteúdo em uma página (scripts, estilos, imagens, fontes...), para limitar o impacto de uma falha XSS. Esta ferramenta divide o cabeçalho colado diretiva por diretiva e aplica uma lista de regras heurísticas comuns para identificar configurações permissivas demais.

Por que 'unsafe-inline' é apontado como perigoso?

Com 'unsafe-inline', qualquer script injetado diretamente no HTML (por exemplo, por meio de uma falha XSS) é executado normalmente — a CSP deixa de bloquear quase qualquer coisa nesse ponto específico, o que anula boa parte do valor da proteção contra scripts inline.

Esta ferramenta verifica a CSP realmente aplicada pelo meu site?

Não: ela analisa apenas o texto que você cola. Para verificar a CSP efetivamente enviada pelo seu servidor, inspecione os cabeçalhos de resposta HTTP nas ferramentas de desenvolvedor do navegador (aba Rede) e cole o valor aqui.

Privacidade: a análise é feita inteiramente no seu navegador — a política colada nunca é enviada a um servidor.