CSPビルダー / チェッカー
CSPヘッダーを1つ貼り付けて、広すぎる許可、重複指定、Report-Onlyなどを点検します。設定変更のひな形も確認できます。16,384文字まで、すべてブラウザ内で処理します。実サイトの動作や安全性を保証する診断ではありません。
上の欄に CSP を貼り付けると診断結果が表示されます。
設定検討のひな形（動作確認が必要）
サイトによって必要な配信元は異なります。インラインコードや外部サービスが動かなくなる可能性があるため、検証環境で調整してから適用してください。
default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests
設定変更後にもう一度確認する
- 既存設定を保全し、管理者が検証環境で変更します。既存のCSPを削除したり、このひな形で丸ごと置き換えたりしないでください。
- 変更後の応答からCSPを1つ取り直し、上の入力欄を置き換えます。複数のヘッダーはまとめず、各ポリシーと併用時の動作を管理者側で確認します。
- Report-Onlyは遮断しません。検証環境で主要画面、ログイン、外部連携、ブラウザのエラーを確認し、問題があれば元の設定へ戻します。
移動だけではサイトを取得しません。移動先で管理するサイトのURLを入力し、実行した場合に基本診断が通信します。この入力のCSPは引き継ぎません。入力を消す場合は「クリア」を押してください。
結果を見た後の確認・修正
生成したポリシーは、自分のサイトで必要な読み込み先と照合してください。適用後は主要な画面・操作が動くかも確認します。
使い方
- 1
レスポンスのCSPヘッダーを1つ貼り付けます。Report-Onlyはヘッダー名も含めてください。複数ヘッダーやmetaタグはまとめて解析しません。
- 2
各ディレクティブが解析され、危険な指定が深刻度つきで一覧表示されます。
- 3
下部のひな形を参考に必要な配信元を整理し、検証環境で表示・ログイン・決済等を確認します。そのまま本番へ置き換えないでください。
- 4
変更後に実際に配信されたCSPヘッダーを取り直し、入力欄を置き換えて再点検します。Report-Onlyの結果と、遮断を適用した際の動作は分けて確認してください。
なぜ重要か
よくある質問
Q貼り付けた内容はどこかに送信されますか？
いいえ。解析はすべてブラウザ内（JavaScript）で完結し、入力はサーバーに送信されません。
Qunsafe-inline はなぜ危険ですか？
インラインコードを広く許す指定です。ただし同じソースリストのnonce/hash、スクリプトのstrict-dynamicとの組合せではCSP対応ブラウザがunsafe-inlineを無視する場合があります。この点検は設定文字列の確認だけで、nonceの使い回し・乱数品質や実装との一致は検証しません。