مُقيِّم CSP
الصق سياسة Content-Security-Policy أو اجلبها من عنوان URL. يفحصها المُقيِّم وفق مواصفة CSP Level 3 ويمنحها تقييمًا من A+ إلى F، مع إصلاح لكل نتيجة.
ابدأ فحصًا
- تبقى السياسات الملصقة في متصفحك
- CSP Level 3
الصق
قيّم سياسة Content-Security-Policy
الصق قيمة الترويسة، أو سطر ترويسة Content-Security-Policy كاملًا، أو وسم <meta>. لا يغادر أي شيء متصفحك.
نقدّم Vigilbase OS
نظام التشغيل للأمن السيبراني.
اربط أدوات الأمان التي تدفع مقابلها بالفعل. أنشئ لوحات معلومات مخصّصة خلال دقائق، مع سجلات وأحداث قابلة للتدقيق والاستعلام في مكان واحد.
one.vigilbase.com/acme.exampleمعاينة · بيانات تجريبية
نظام أمان Acme
events | where severity >= medium | last 24hوكيل Vigilيعمل
- التحقيق موجة حشو بيانات اعتماد ضد /login
- المعالجة نشر قاعدة تحديد المعدل على الحافة
- التحقق انخفاض حركة الهجوم بنسبة 98% خلال خمس دقائق
ما مُقيِّم CSP؟
يقرأ مُقيِّم CSP سياسة Content-Security-Policy ويوضح مدى نجاحها في الحدّ من البرمجة النصية عبر المواقع (XSS): هل تقتصر السكربتات على الشيفرة التي تثق بها، وهل تعيد 'unsafe-inline' أو 'unsafe-eval' أو أحرف البدل فتح الباب، وهل ضُبطت التوجيهات التي لا ترجع احتياطيًا إلى default-src (base-uri وform-action وframe-ancestors). تقيّم Vigilbase السياسة الملصقة في متصفحك ولا ترسلها إلى أي مكان.
ما الذي يفحصه مُقيِّم CSP
يحلّل المُقيِّم السياسة بالطريقة التي تتبعها المتصفحات الداعمة لـCSP Level 3، ثم يفحص كيفية تعاملها مع السكربتات ومع التوجيهات التي لا بديل احتياطيًا لها.
مصادر السكربتات
التوجيه الذي يتحكم في السكربتات: script-src-elem، ثم script-src، ثم default-src. وكلٌّ من 'unsafe-inline' دون nonce أو تجزئة (hash)، وحرف البدل، والمخطط الكامل مثل https: أو data:، والمضيفين عبر http:// العادي يسمح بتشغيل سكربت محقون.
قيم nonce والتجزئات و'strict-dynamic'
تسمح سياسة CSP الصارمة التي تصفها مواصفة CSP Level 3 بالسكربتات عبر nonce أو تجزئة (hash) مع 'strict-dynamic'، وتضبط base-uri على 'self' أو 'none'. وينبغي ألا تقل قيمة nonce عن 128 بت وأن تكون جديدة لكل استجابة.
'unsafe-eval'
يسمح بتشغيل النص كشيفرة عبر eval() وnew Function() والاستدعاءات المشابهة. ويغطي 'wasm-unsafe-eval' لغة WebAssembly دون الحاجة إليه.
object-src
يتحكم في محتوى المكونات الإضافية في <object> و<embed>. والإعداد المعتاد هو object-src 'none'.
base-uri وform-action وframe-ancestors
لا ترجع هذه التوجيهات احتياطيًا إلى default-src، لذا يلزم ضبط كلٍّ منها في توجيه مستقل. ويحلّ frame-ancestors محل X-Frame-Options ولا يمكن ضبطه في وسم <meta>.
التقارير
يُعلمك report-to، مع report-uri كبديل احتياطي للمتصفحات الأقدم، بما تحظره السياسة.
الصياغة
لا أثر للتوجيهات غير المعروفة أو المكررة، ولا للكلمات المفتاحية غير المحاطة بعلامات اقتباس، ولا للقيم الخارجة عن قواعد صياغة المصادر، لذا قد يُضعف خطأ مطبعي السياسة دون أن تلاحظ.
كيف يعمل التقييم من A+ إلى F
تخصم كل نتيجة نقاطًا: 50 نقطة عندما لا تكون السكربتات مقيّدة إطلاقًا، و25 للنتيجة عالية الخطورة، و10 للمتوسطة، و5 للمنخفضة. ولا تخصم الملاحظات أي نقاط. وعندما ترسل الاستجابة عدة سياسات، تفرضها المتصفحات جميعًا، لذا لا يُحتسب ضعف السكربتات إلا إذا سمحت به كل سياسة.
- A+
- 95-100
- A
- 85-94
- B
- 70-84
- C
- 55-69
- D
- 40-54
- F
- 0-39
فحوصات ذات صلة والخطوات التالية
- مولّد CSP
أنشئ سياسة قائمة على nonce أو التجزئة أو قائمة السماح، مع مقتطفات إعداد للخادم.
- فاحص ترويسات أمن HTTP
قيّم CSP وHSTS وX-Frame-Options وسبع ترويسات استجابة أخرى.
- أداة فحص HSTS
افحص Strict-Transport-Security وأهلية الإدراج في قائمة التحميل المسبق لـHSTS.
- دليل عملي لحماية المواقع
موقع CSP إلى جانب WAF والحماية من DDoS وتثبيت التصحيحات.
خدمات Cloudflare المُدارة
حافظ على ضبط Cloudflare ومراقبته وتحسينه. تتولى Vigilbase التغييرات والاستجابة للحوادث المتفق عليها، مع خيارات تغطية Core وPriority وCritical.
استكشف خدمات Cloudflare المُدارةSOC مُدار
SOC مُدار على أدوات الأمان التي تدفع مقابلها بالفعل. يحقق وكيل Vigil، ويتولى محللونا الحالات الاستثنائية، وتتبع التغطية مستوى اتفاقية الخدمة لديك.
استكشف خدمة SOC المُدارةالمصادر
الأسئلة
أسئلة شائعة عن مُقيِّم CSP
ما الذي يفحصه مُقيِّم CSP؟
يحلّل كل توجيه بالطريقة التي تتبعها المتصفحات الداعمة لـCSP Level 3، ويفحص كيفية السماح بالسكربتات ('unsafe-inline' و'unsafe-eval' وأحرف البدل والمخططات وقوائم السماح للمضيفين وقيم nonce والتجزئات و'strict-dynamic')، وهل ضُبطت object-src وbase-uri وframe-ancestors وform-action، وهل يُبلَّغ عن الانتهاكات، وهل في أي توجيه أو قيمة خلل في الصياغة.فاحص ترويسات أمن HTTPدليل عملي لحماية المواقع
هل تُرسَل سياستي إلى Vigilbase؟
لا عند لصقها، إذ يجري التحليل والتقييم في متصفحك. أما عند جلب سياسة من عنوان URL، فيطلب ماسح ترويسات الأمان ذلك العنوان ويحفظ نتيجة الفحص، بما فيها ترويسات الاستجابة، خلف رابط قابل للمشاركة.الخصوصية والتعامل مع البياناتفاحص ترويسات أمن HTTP
ما سياسة CSP الصارمة؟
تصف مواصفة CSP Level 3 سياسة CSP الصارمة بأنها script-src تقتصر على قيم nonce أو hash مع 'strict-dynamic'، وbase-uri بقيمة 'self' أو 'none'، مثل: script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'. ويَعُدّ المُقيِّم السياسة صارمة عندما لا يمكن تشغيل النصوص البرمجية ومعالجات الأحداث المضمّنة إلا عبر nonce أو hash (أو لا يمكن تشغيلها إطلاقًا)، وتكون eval() محظورة، وbase-uri بقيمة 'self' أو 'none'. وغالبًا ما يمكن تجاوز سياسات قائمة السماح التي تسمّي المضيفين عبر نصوص برمجية مستضافة مسبقًا على تلك المصادر.دليل عملي لحماية المواقع
لماذا يُنبَّه إلى 'unsafe-inline' مع أن موقعي يحتاج إلى سكربتات مضمّنة؟
لأنه يسمح بتشغيل أي سكربت مضمّن محقون إلى جانب سكربتاتك. امنح سكربتاتك المضمّنة قيمة nonce لكل استجابة، أو أدرج تجزئاتها. عندها تتجاهل المتصفحات الداعمة لقيم nonce والتجزئات 'unsafe-inline'، فيمكنك إبقاؤه فقط كبديل احتياطي للمتصفحات القديمة جدًا.دليل عملي لحماية المواقع
هل يعمل frame-ancestors في وسم meta؟
لا. لا تدعم CSP Level 3 التوجيهات frame-ancestors وreport-uri وsandbox في سياسة <meta>، ولا يمكن إطلاقًا تسليم سياسة Report-Only عبر وسم meta. أرسلها في ترويسة استجابة HTTP.
ما الفرق بين هذه الأداة وأداة فحص ترويسات الأمان؟
تقيّم أداة فحص ترويسات الأمان عشر ترويسات استجابة، وتبلغ حصة Content-Security-Policy منها 20 نقطة من أصل 100. أما مُقيِّم CSP فيركّز على السياسة وحدها، توجيهًا تلو الآخر، ويشرح كل نتيجة.فاحص ترويسات أمن HTTPمقارنة الفحوصات الأمنية العامة