CSP auswerten

Content-Security-Policy verstehen und bewerten

Mit diesem Werkzeug CSP auswerten heißt: Sie fügen eine vorhandene Content-Security-Policy ein, und der Prüfer zerlegt sie in ihre CSP-Direktiven, zeigt je Ressourcentyp die tatsächlich greifende Regel und bewertet typische Schwachstellen. Die Content-Security-Policy prüfen lohnt sich vor allem bei geerbten Konfigurationen: Oft steht dort 'unsafe-inline' in script-src, ein Sternchen bei den Quellen oder ein großes CDN, über das sich beliebige Skripte nachladen lassen. Dann schützt die Policy kaum noch vor Cross-Site-Scripting.

Die Bewertung folgt den Regeln aus CSP Level 3: Fehlt eine Fetch-Direktive wie img-src, gilt default-src; script-src-elem fällt auf script-src zurück, worker-src über child-src und script-src auf default-src. base-uri, form-action und frame-ancestors erben dagegen nichts. Stehen Nonces oder Hashes in der Liste, ignorieren aktuelle Browser 'unsafe-inline'; mit 'strict-dynamic' werden zusätzlich Hostnamen und Schemata wie https: ignoriert, und nur Skripte mit gültiger Nonce dürfen weitere Skripte laden. Diese Kombination gilt als robuste Form einer CSP.

Grenzen: Der Prüfer sieht nur den Text der Policy, nicht Ihre Seite. Ob eine erlaubte Domain tatsächlich JSONP-Endpunkte oder alte Bibliotheken anbietet, lässt sich offline nur als Hinweis bewerten. Ob die Nonce bei jeder Antwort neu erzeugt wird, kann er ebenfalls nicht prüfen. Eine neue Policy bauen Sie mit dem CSP-Generator; alle übrigen Antwort-Header bewertet der Sicherheits-Header-Prüfer.