Pular para o conteúdo
ITDPlataforma de Segurança Web
ITD
Buscar

Gerador / Verificador de CSP

Cole um único cabeçalho CSP de resposta; inclua o nome para Report-Only. Esta verificação local de texto suporta até 16.384 caracteres e 128 diretivas. Não verifica o funcionamento nem a segurança do site.

Tudo é executado no seu navegador. Seus dados nunca são enviados a um servidor.

Usar a ferramenta

Envio
Não (processado no seu navegador)
Armazenamento
Não (some ao recarregar)
API externa
Nenhuma
Alvo
Não se conecta a nenhum alvo externo
Detalhes
  • O que você digita é processado só nesta página, no seu navegador. Não é enviado ao servidor deste site nem a serviços externos.
  • Não é guardado no servidor nem no armazenamento do navegador. Fechar ou recarregar a página apaga tudo.
  • O carregamento da página em si fica no registro de acesso (endereço IP, horário, user agent etc.). As páginas de ferramentas não carregam anúncios nem análise de acesso. Política de privacidade

Cole uma CSP acima para ver a análise.

Modelo de política — testar antes de aplicar

Preserve a política existente e teste alterações em um ambiente controlado. Não substitua uma CSP em uso pelo modelo. Confira respostas reais, páginas principais, login e integrações; restaure a configuração anterior se necessário.

default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests

Como usar

  1. 1

    Cole um único cabeçalho CSP de resposta; inclua o nome para Report-Only. Esta verificação local de texto suporta até 16.384 caracteres e 128 diretivas. Não verifica o funcionamento nem a segurança do site.

  2. 2

    Cada diretiva é analisada e os valores arriscados são listados com a gravidade.

  3. 3

    Preserve a política existente e teste alterações em um ambiente controlado. Não substitua uma CSP em uso pelo modelo. Confira respostas reais, páginas principais, login e integrações; restaure a configuração anterior se necessário.

Por que importa

CSP ajuda a reduzir o impacto de XSS, mas listas de fontes, prioridade de diretivas e implementação de nonce/hash importam. default-src não restringe form-action nem frame-ancestors. Report-Only não bloqueia código ou conexões; verifique a aplicação obrigatória separadamente.

Perguntas frequentes

QA política que eu colo é enviada para algum lugar?
A

Não. Toda a análise é executada no seu navegador (JavaScript); seus dados nunca são enviados a um servidor.

QPor que unsafe-inline é perigoso?
A

Permitir código inline amplamente pode enfraquecer a proteção. Com nonces, hashes ou script strict-dynamic, navegadores compatíveis podem ignorar unsafe-inline. Esta verificação de texto não valida aleatoriedade, reutilização de nonces ou correspondência com o site.

Páginas relacionadas