CSP 빌더 / 체커
CSP 응답 헤더 하나를 붙여넣으세요. Report-Only는 헤더 이름도 포함하세요. 브라우저 내 문자열 점검은 16,384자·128개 지시문까지 지원하며 사이트 동작이나 안전성을 검증하지 않습니다.
모든 처리는 브라우저 안에서 이뤄집니다. 입력한 내용은 서버로 전송되지 않습니다.
- 전송
- 안 함(브라우저 안에서 처리)
- 저장
- 안 함(새로고침하면 사라짐)
- 외부 API
- 없음
- 대상
- 외부 대상에 접속하지 않음
자세한 처리 방식
- 입력한 내용은 이 페이지의 브라우저 안에서만 처리하며, 이 사이트의 서버나 외부 서비스로 보내지 않습니다.
- 입력한 내용을 서버나 브라우저 저장소에 저장하지 않습니다. 페이지를 닫거나 새로고침하면 사라집니다.
- 페이지 표시 자체는 접근 로그(IP 주소, 일시, 사용자 에이전트 등)에 기록됩니다. 도구 화면에서는 광고와 접속 분석을 불러오지 않습니다. 개인정보 처리방침
위에 CSP를 붙여넣으면 진단 결과가 표시됩니다.
정책 템플릿 — 적용 전 테스트 필요
기존 정책을 보존하고 통제된 테스트 환경에서 변경하세요. 템플릿으로 기존 CSP 전체를 교체하지 마세요. 실제 응답·주요 페이지·로그인·외부 연동을 확인하고 필요하면 이전 설정으로 복구하세요.
default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests
사용 방법
- 1
CSP 응답 헤더 하나를 붙여넣으세요. Report-Only는 헤더 이름도 포함하세요. 브라우저 내 문자열 점검은 16,384자·128개 지시문까지 지원하며 사이트 동작이나 안전성을 검증하지 않습니다.
- 2
각 디렉티브가 파싱되고 위험한 값이 심각도와 함께 나열됩니다.
- 3
기존 정책을 보존하고 통제된 테스트 환경에서 변경하세요. 템플릿으로 기존 CSP 전체를 교체하지 마세요. 실제 응답·주요 페이지·로그인·외부 연동을 확인하고 필요하면 이전 설정으로 복구하세요.
왜 중요한가
CSP는 XSS 영향을 줄이는 데 도움을 주지만 소스 목록·지시문 우선순위·nonce/hash 구현도 확인해야 합니다. default-src는 form-action이나 frame-ancestors를 제한하지 않습니다. Report-Only는 코드나 연결을 차단하지 않으므로 강제 적용을 별도로 확인하세요.
자주 묻는 질문
Q붙여넣은 정책이 어딘가로 전송되나요?
A
아니요. 모든 파싱은 브라우저 안(JavaScript)에서 이루어지며, 입력은 서버로 전송되지 않습니다.
Qunsafe-inline은 왜 위험한가요?
A
광범위한 인라인 허용은 보호를 약화시킬 수 있습니다. 다만 nonce·hash 또는 스크립트 strict-dynamic과 조합하면 지원 브라우저가 unsafe-inline을 무시할 수 있습니다. 이 문자열 점검은 nonce의 무작위성·재사용·사이트 구현 일치를 검증하지 않습니다.