CSP Analyzer

CSP Analyzer — аналіз Content-Security-Policy анлайн

Сэрвіс 101IP разбірае загаловак Content-Security-Policy сайта: паказвае ўсе дырэктывы, вылучае небяспечныя канфігурацыі і ацэньвае палітыку па шкале ад A+ да F.

Што правяраецца

• 'unsafe-inline' — дазваляе ўбудаваныя скрыпты і стылі, асноўны вектар XSS;
• 'unsafe-eval' — дазваляе eval() і дынамічнае стварэнне кода;
• Wildcard * — дазваляе загрузку рэсурсаў з любога хаста;
• data: URI — можа выкарыстоўвацца для загрузкі шкоднаснага кантэнту;
• http: scheme — небяспечныя HTTP-крыніцы на HTTPS-сайце;
• Адсутныя дырэктывы — default-src, object-src, base-uri, frame-ancestors.

Шкала ацэнак

• A+ / A — строгая палітыка, крытычных праблем няма;
• B / C — ёсць недахопы, рэкамендуецца паляпшэнне;
• D / F — крытычныя ўразлівасці, CSP амаль не абараняе.

Часта задаваемыя пытанні

• Што такое 'unsafe-inline' у CSP і наколькі гэта небяспечна?

  Дырэктыва 'unsafe-inline' дазваляе выкананне любых убудаваных скрыптоў і стыляў. Гэта вельмі небяспечна, бо зламыснік можа ўвесці свой код праз XSS-уразлівасць. Замест гэтага рэкамендуецца выкарыстоўваць строгія nonce або hash для асобных скрыптоў.

• Як інтэрпрэтаваць адзнаку F ад CSP Analyzer?

  Адзнака F азначае, што палітыка адсутнічае або змяшчае крытычныя ўразлівасці, напрыклад, default-src * або дазволены unsafe-inline і unsafe-eval. Вам варта неадкладна наладзіць загаловак CSP, абмежаваўшы скрыпты толькі даверанымі крыніцамі і выкарыстоўваючы nonce/hash.

• Чаму мой CSP блакуе Google Analytics?

  Хутчэй за ўсё, ваша дырэктыва script-src не ўключае дамены Google Analytics (напрыклад, www.googletagmanager.com). Дадайце іх у дазволеныя крыніцы. CSP Analyzer пакажа, якія скрыпты заблакаваны, і вы зможаце скарэктаваць дырэктывы, не аслабляючы агульную палітыку.