Анализатор политики CSP
Вставьте заголовок Content-Security-Policy, чтобы найти слишком мягкие или отсутствующие директивы (unsafe-inline, unsafe-eval, подстановочные знаки *, отсутствие ключевых директив). Анализ выполняется целиком в вашем браузере.
Как это работает
Content-Security-Policy (CSP) — это HTTP-заголовок, ограничивающий источники, из которых страница может загружать или выполнять содержимое (скрипты, стили, изображения, шрифты...), чтобы уменьшить последствия XSS-уязвимости. Этот инструмент разбивает вставленный заголовок по директивам и применяет набор распространённых эвристических правил, чтобы выявить слишком мягкие настройки.
Почему 'unsafe-inline' считается опасным?
При 'unsafe-inline' любой скрипт, внедрённый прямо в HTML (например, через XSS-уязвимость), выполняется как обычно — CSP в этом случае почти ничего не блокирует, и значительная часть защиты для встроенных скриптов теряет смысл.
Проверяет ли этот инструмент CSP, которая реально применяется на моём сайте?
Нет: он анализирует только вставленный вами текст. Чтобы проверить CSP, которую действительно отправляет ваш сервер, откройте заголовки HTTP-ответа в инструментах разработчика браузера (вкладка «Сеть») и вставьте значение сюда.
Конфиденциальность: анализ выполняется целиком в вашем браузере — вставленная политика никогда не отправляется на сервер.