Avaliador de CSP
Cole uma Content-Security-Policy ou obtenha-a a partir de um URL. O avaliador verifica-a segundo a especificação CSP Level 3 e atribui-lhe uma classificação de A+ a F, com uma correção para cada problema detetado.
Começar a verificação
- As políticas coladas ficam no seu navegador
- CSP Level 3
Colar
Avaliar uma Content-Security-Policy
Cole o valor do cabeçalho, uma linha completa do cabeçalho Content-Security-Policy ou uma etiqueta <meta>. Nada sai do seu navegador.
Apresentamos o Vigilbase OS
O sistema operativo da cibersegurança.
Ligue as ferramentas de segurança que já paga. Crie painéis personalizados em minutos, com todos os registos e eventos auditáveis e pesquisáveis num único lugar.
one.vigilbase.com/acme.examplePré-visualização · dados de exemplo
Sistema de segurança da Acme
events | where severity >= medium | last 24hAgente VigilA trabalhar
- Investigar Pico de credential stuffing contra /login
- Corrigir Regra de limite de taxa aplicada no edge
- Verificar Tráfego de ataque reduzido 98% em cinco minutos
O que é um avaliador de CSP?
Um avaliador de CSP lê uma Content-Security-Policy e indica até que ponto limita o cross-site scripting (XSS): se os scripts estão restritos a código em que confia, se 'unsafe-inline', 'unsafe-eval' ou carateres universais voltam a abrir a porta e se as diretivas que não recorrem a default-src como alternativa (base-uri, form-action e frame-ancestors) estão definidas. A Vigilbase avalia uma política colada no seu navegador e não a envia para lado nenhum.
O que o avaliador de CSP verifica
O avaliador analisa a política tal como os navegadores compatíveis com CSP Level 3 e depois verifica como trata os scripts e as diretivas sem alternativa.
Origens de scripts
A diretiva que rege os scripts: script-src-elem, depois script-src e depois default-src. 'unsafe-inline' sem nonce nem hash, um caráter universal, um esquema inteiro como https: ou data: e anfitriões em http:// simples permitem a execução de scripts injetados.
Nonces, hashes e 'strict-dynamic'
A CSP estrita descrita pela especificação CSP Level 3 permite scripts por nonce ou hash em conjunto com 'strict-dynamic' e define base-uri como 'self' ou 'none'. Um nonce deve ter pelo menos 128 bits e ser novo em cada resposta.
'unsafe-eval'
Permite executar texto como código através de eval(), new Function() e chamadas semelhantes. 'wasm-unsafe-eval' abrange o WebAssembly sem essa permissão.
object-src
Controla o conteúdo de plug-ins em <object> e <embed>. object-src 'none' é a definição habitual.
base-uri, form-action e frame-ancestors
Estas diretivas não recorrem a default-src como alternativa, pelo que cada uma tem de ser definida em separado. frame-ancestors substitui X-Frame-Options e não pode ser definida numa etiqueta <meta>.
Relatórios
report-to, com report-uri como alternativa para navegadores mais antigos, indica o que a política bloqueia.
Sintaxe
Diretivas desconhecidas ou duplicadas, palavras-chave sem aspas e valores fora da gramática das expressões de origem não têm efeito, pelo que uma gralha pode enfraquecer silenciosamente uma política.
Como funciona a classificação de A+ a F
Cada problema detetado retira pontos: 50 quando os scripts não estão restritos de todo, 25 por um problema de gravidade alta, 10 por um de gravidade média e 5 por um de gravidade baixa. As notas não retiram pontos. Quando uma resposta envia várias políticas, os navegadores aplicam todas, pelo que uma fragilidade nos scripts só conta se todas as políticas a permitirem.
- A+
- 95-100
- A
- 85-94
- B
- 70-84
- C
- 55-69
- D
- 40-54
- F
- 0-39
Verificações relacionadas e próximos passos
- Gerador de CSP
Crie uma política baseada em nonce, hash ou lista de permissões, com excertos de configuração do servidor.
- Verificador de Cabeçalhos de Segurança HTTP
Classifique CSP, HSTS, X-Frame-Options e mais sete cabeçalhos de resposta.
- Verificador de HSTS
Verifique o Strict-Transport-Security e a elegibilidade para preload HSTS.
- Guia prático de proteção de sites
Onde se enquadra uma CSP ao lado de um WAF, da proteção contra DDoS e da aplicação de correções.
Cloudflare gerido
Mantenha a Cloudflare configurada, monitorizada e a melhorar. A Vigilbase trata das alterações acordadas e da resposta a incidentes, com opções de cobertura Core, Priority e Critical.
Explorar Cloudflare geridoSOC gerido
SOC gerido nas ferramentas de segurança que já paga. O agente Vigil investiga, os analistas tratam das exceções e a cobertura segue o seu nível de SLA.
Explorar SOC geridoFontes
Perguntas
Perguntas frequentes sobre o avaliador de CSP
O que verifica o avaliador de CSP?
Analisa cada diretiva tal como os navegadores compatíveis com CSP Level 3 e verifica como os scripts são permitidos ('unsafe-inline', 'unsafe-eval', carateres universais, esquemas, listas de permissões de anfitriões, nonces, hashes e 'strict-dynamic'), se object-src, base-uri, frame-ancestors e form-action estão definidas, se as violações são comunicadas e se alguma diretiva ou valor está mal formado.Verificador de Cabeçalhos de Segurança HTTPGuia prático de proteção de sites
A minha política é enviada para a Vigilbase?
Não, se a colar: a análise e a classificação são feitas no seu navegador. Quando obtém uma política a partir de um URL, o analisador de cabeçalhos de segurança pede esse URL e guarda o resultado da análise, incluindo os cabeçalhos da resposta, acessível através de uma ligação partilhável.Privacidade e tratamento de dadosVerificador de Cabeçalhos de Segurança HTTP
O que é uma CSP estrita?
A especificação CSP Level 3 descreve uma CSP estrita como script-src apenas com nonces ou hashes mais 'strict-dynamic', e base-uri 'self' ou 'none', por exemplo: script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'. O avaliador considera uma política estrita quando os scripts e os processadores de eventos inline só podem ser executados por nonce ou hash (ou de todo não podem), eval() está bloqueado e base-uri é 'self' ou 'none'. As políticas de lista de permissões que indicam anfitriões podem muitas vezes ser contornadas através de scripts já alojados nessas origens.Guia prático de proteção de sites
Porque é que 'unsafe-inline' é assinalado se o meu site precisa de scripts inline?
Porque permite que qualquer script inline injetado seja executado, além dos seus. Atribua aos seus scripts inline um nonce por resposta ou indique os respetivos hashes. Os navegadores compatíveis com nonces e hashes passam então a ignorar 'unsafe-inline', pelo que só o pode manter como alternativa para navegadores muito antigos.Guia prático de proteção de sites
A diretiva frame-ancestors funciona numa etiqueta meta?
Não. A CSP Level 3 não suporta frame-ancestors, report-uri nem sandbox numa política em <meta>, e uma política Report-Only não pode de todo ser entregue numa etiqueta meta. Envie-as no cabeçalho de resposta HTTP.
Em que difere do Verificador de Cabeçalhos de Segurança?
O Verificador de Cabeçalhos de Segurança classifica dez cabeçalhos de resposta, e a Content-Security-Policy vale 20 dos seus 100 pontos. O avaliador de CSP analisa apenas a política, diretiva a diretiva, e explica cada problema detetado.Verificador de Cabeçalhos de Segurança HTTPCompare as verificações públicas de segurança