Analizador de CSP

Pega valores de CSP aplicada sin el nombre de cabecera. Las comas separan políticas: todas deben permitir la petición. Analizar muestra hallazgos heurísticos y directivas alternativas. La comprobación URL compara fuentes estáticamente, sin garantizar la carga. Sin red ni almacenamiento; los campos quedan en memoria al cambiar de herramienta y se borran al recargar.

strict-dynamic en scripts, contexto de nonce/integridad ausente o actualización de URL insegura muestran que falta contexto. No simula código en línea, validez/unicidad de nonces, SRI, redirecciones, CORS, contenido mixto, Trusted Types, CSP meta ni report-only. Solo URL iniciales sin redirecciones y orígenes de página HTTP(S). Una política vacía no restringe fuentes. Señala directivas desconocidas/inválidas; no diagnostica toda la gramática de fuentes.

La representación conserva la primera directiva repetida, elimina nombres inválidos y normaliza espacios sin unir políticas. No es recomendación de seguridad ni forma canónica semántica. Límites: 32.768 caracteres, 2.048 elementos y 16 políticas. Los nonces de ejemplo son públicos y no sirven en producción.

W3C · Content Security Policy 3

Las diferencias conocidas entre Chromium y CSP3 en separadores codificados, escapes porcentuales inválidos y fuentes ws:/wss: frente a HTTP(S) requieren contexto.