Analyseur CSP

Collez les valeurs CSP appliquées sans nom d’en-tête. Les virgules séparent les politiques : elles doivent toutes permettre la requête. Analyser montre des constats heuristiques et les directives de repli. La vérification URL compare statiquement les sources, sans garantir le chargement. Aucun accès réseau ni stockage ; champs en mémoire entre outils, réinitialisés au rechargement.

strict-dynamic pour les scripts, contexte nonce/intégrité absent ou mise à niveau d’URL non sûre donnent un résultat de contexte manquant. Pas de simulation du code intégré, validité/unicité des nonces, SRI, redirections, CORS, contenu mixte, Trusted Types, CSP meta ou report-only. URL initiales sans redirection ; origine de page HTTP(S) uniquement. Politique vide sans restriction de source. Directives inconnues/invalides signalées, diagnostic de grammaire des sources non exhaustif.

La représentation analysée conserve la première directive répétée, supprime les noms invalides et normalise les espaces, en gardant les politiques séparées. Ni recommandation de sécurité ni forme canonique sémantique. Limites : 32 768 caractères, 2 048 jetons, 16 politiques. Les nonces d’exemple sont publics et impropres à la production.

W3C · Content Security Policy 3

Les différences Chromium connues avec CSP3 pour les séparateurs de chemin encodés, échappements pour cent invalides et sources ws:/wss: vers HTTP(S) demandent du contexte.