CSPアナライザー
CSP値、Content-Security-Policyヘッダー行、または完全なHTTPレスポンスヘッダーを貼り付けて、ディレクティブの確認、ソースの懸念事項の検出、構造化されたポリシー概要を確認できます。強制ポリシーとレポートのみポリシーを個別に分析します。ブラウザ内のみで解析し、サーバーへの接続は行いません。
貼り付けたContent-Security-Policy値やHTTPレスポンスヘッダーを解析し、指示とsource表現を分類して注意すべきポリシーパターンを表示します。
CSPを分析する方法
- CSP値、CSPヘッダー行、または完全なレスポンスヘッダーを貼り付けます。
- enforcing/report-onlyポリシー、指示、source、要確認数を確認します。
- 重複、空値、*、unsafe-inline、unsafe-eval、object-src/default-src不足を確認します。
確認内容
default-src、script-src、style-src、img-src、font-src、connect-src、media-src、object-srcなど主要fetch指示と複数の文書・報告指示を認識します。
self、none、wildcard、unsafe-inline、unsafe-eval、nonce、hash、strict-dynamic、scheme、hostを分類し、危険または曖昧な組み合わせを要確認にします。
プライバシーと制限
CSP文字列だけをブラウザ内で解析し、ページ、script、画像、report endpointを取得しません。構造レビュー用であり、実際のCSP強制やXSS安全性を保証するものではありません。
CSP Analyzer FAQ
対象ページを読み込みますか？
いいえ。CSPを貼り付けます。
Report-Onlyも分けますか？
はい。別ポリシーとして表示します。
unsafe-inlineを検出しますか？
はい。要確認として表示します。
問題なしなら安全ですか？
いいえ。CSPだけで安全性は保証できません。
report endpointへ通信しますか？
いいえ。外部通信はしません。