CSP 분석기
CSP 값, Content-Security-Policy 헤더 줄, 또는 전체 HTTP 응답 헤더를 붙여넣어 지시어를 검토하고 소스 우려 사항을 감지하며 구조화된 정책 요약을 확인하세요. 집행 정책과 보고 전용 정책을 각각 분석합니다. 분석은 브라우저 안에서만 이루어지며 서버에 연결하지 않습니다.
붙여넣은 Content-Security-Policy 값이나 전체 응답 헤더를 분석해 지시어와 source 표현식을 분류하고 위험하거나 애매한 정책 패턴을 검토합니다.
CSP 분석 방법
- CSP 값, CSP 헤더 한 줄 또는 전체 HTTP 응답 헤더를 붙여넣습니다.
- enforcing/report-only 정책과 지시어, source 표현식, 검토 개수를 확인합니다.
- 중복 지시어, 빈 값, *, unsafe-inline, unsafe-eval, object-src/default-src 부재 알림을 검토합니다.
검사하는 내용
default-src, script-src, style-src, img-src, font-src, connect-src, media-src, object-src, frame-src, child-src, worker-src, manifest-src 등 주요 fetch 지시어와 여러 문서·보고 지시어를 인식합니다.
self, none, wildcard, unsafe-inline, unsafe-eval, nonce, hash, strict-dynamic, scheme, host 등을 분류하고 *, unsafe-inline, unsafe-eval, 중복 지시어, none과 다른 source 혼용, object-src/default-src 부재를 검토 대상으로 표시합니다.
개인정보와 제한
CSP 문자열만 브라우저에서 분석하며 페이지, 스크립트, 이미지, report endpoint를 요청하지 않습니다. 구조적 정책 검사 도구일 뿐 실제 브라우저의 CSP 집행 엔진이나 XSS 안전성을 보증하는 보안 감사는 아닙니다.
CSP Analyzer 자주 묻는 질문
CSP가 적용된 페이지를 불러오나요?
아니요. 정책이나 응답 헤더를 붙여넣습니다.
Report-Only도 구분하나요?
네. 별도 정책으로 표시합니다.
unsafe-inline과 unsafe-eval을 표시하나요?
네. 지원 fetch 지시어에서 검토 대상으로 표시합니다.
문제가 없으면 사이트가 안전한가요?
아니요. CSP는 보안의 한 층일 뿐입니다.
report-uri로 요청하나요?
아니요. 외부 요청은 하지 않습니다.