Конструктор / Проверка CSP
Вставьте один заголовок ответа CSP; для Report-Only укажите и имя заголовка. Локальная проверка текста поддерживает до 16 384 символов и 128 директив. Она не проверяет работу или безопасность сайта.
- Отправка
- Нет (обработка в браузере)
- Хранение
- Нет (очищается при перезагрузке)
- Внешний API
- Нет
- Цель
- К внешним целям не подключается
Подробнее
- Введённые данные обрабатываются только на этой странице в вашем браузере и не отправляются ни на сервер этого сайта, ни во внешние сервисы.
- Данные не сохраняются ни на сервере, ни в хранилище браузера. Закрытие или перезагрузка страницы их удаляет.
- Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности
Вставьте CSP выше, чтобы увидеть результаты анализа.
Шаблон политики — проверьте до применения
Сохраните существующую политику и проверяйте изменения в тестовой среде. Не заменяйте рабочую CSP целиком этим шаблоном. Проверьте реальные ответы, основные страницы, вход и интеграции; при необходимости восстановите прежние настройки.
default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests
Как пользоваться
- 1
Вставьте один заголовок ответа CSP; для Report-Only укажите и имя заголовка. Локальная проверка текста поддерживает до 16 384 символов и 128 директив. Она не проверяет работу или безопасность сайта.
- 2
Каждая директива разбирается, а опасные значения перечисляются с указанием серьёзности.
- 3
Сохраните существующую политику и проверяйте изменения в тестовой среде. Не заменяйте рабочую CSP целиком этим шаблоном. Проверьте реальные ответы, основные страницы, вход и интеграции; при необходимости восстановите прежние настройки.
Почему это важно
Частые вопросы
QОтправляется ли куда-нибудь вставленная политика?
Нет. Весь разбор выполняется в вашем браузере (JavaScript); ваши данные никогда не отправляются на сервер.
QПочему unsafe-inline опасен?
Широкое разрешение встроенного кода может ослабить защиту. При nonce, hash или script strict-dynamic поддерживающие браузеры могут игнорировать unsafe-inline. Эта проверка текста не проверяет случайность, повторное использование nonce и соответствие реализации сайта.