CSP-Analyse

Werte durchgesetzter CSP-Header ohne Headernamen einfügen. Kommas trennen Richtlinien, die eine Anfrage gemeinsam erlauben müssen; ihre Quellenlisten werden nicht einfach geschnitten. Analysieren zeigt heuristische Befunde und Rückfall-Direktiven. Die URL-Prüfung ist ein statischer Quellenabgleich, keine Ladegarantie. Kein Netzwerkzugriff oder Storage; Felder bleiben beim Toolwechsel im RAM, Neuladen setzt zurück.

strict-dynamic bei Skripten, fehlender Nonce-/Integritätskontext und unsichere URL-Upgrades ergeben ausdrücklich einen Kontext-Hinweis. Keine Simulation von Inline-Code, Nonce-Gültigkeit/-Eindeutigkeit, SRI, Weiterleitungen, CORS, Mixed Content, Trusted Types, Meta-CSP oder Report-only-Durchsetzung. Verglichen werden Anfangs-URLs ohne Weiterleitung. Nur HTTP(S)-Seiten-Ursprünge. Eine leere Richtlinie hat keine Quelleneinschränkung. Unbekannte/ungültige Direktiven werden gemeldet; die Quellengrammatik wird nicht vollständig diagnostiziert.

Die geparste Darstellung behält die erste doppelte Direktive, entfernt ungültige Namen und vereinheitlicht Leerraum; Richtliniengrenzen bleiben erhalten. Keine Sicherheitsempfehlung oder semantische Normalform. Grenzen: 32.768 Zeichen, 2.048 Tokens, 16 Richtlinien. Beispiel-Nonces sind öffentliche Demowerte, kein Produktionszufall.

W3C · Content Security Policy 3

Bekannte Chromium-Abweichungen vom aktuellen CSP3-Abgleich bei kodierten Pfadtrennern, ungültigen Prozent-Escapes in Quellpfaden und ws:/wss:-Quellen gegen HTTP(S) werden als kontextabhängig gemeldet.