مطور / سياسة الأمان
مولّد CSP: إنشاء سياسات أمان المحتوى وتحليلها
أنشئ ترويسة Content-Security-Policy تتضمن قوائم المصادر، وعناصر نائبة لـ nonce وhash، وتوجيهات إعداد التقارير، وإعدادات مسبقة شائعة. راجع التحذيرات وانسخ المخرجات بصيغ HTTP أو meta أو nginx أو Apache أو _headers الثابتة.
مولّد CSP: إنشاء سياسات أمان المحتوى وتحليلها: ينشئ سياسة محليًا ويشير إلى unsafe-inline وunsafe-eval والمصادر الواسعة والتوجيهات المكررة والعناصر النائبة الخاصة بالنشر. يحافظ المحلّل على التوجيهات غير المعروفة ويستخدم أول ظهور للتوجيه المكرر. يحلّل سياسة واحدة في كل مرة ولا يحمّل الصفحة المحمية. يعمل 100% محليًا في المتصفح، من دون رفع أي ملفات إلى الخادم.
- الفئة
- أدوات المطورين
- مرات التشغيل
- في المتصفح
- التكلفة
- مجاني · بلا تسجيل
- التوفر
- جاهز للاستخدام
تعمل بالكامل في المتصفح
تستبدل الإعدادات المسبقة السياسة الحالية. اختبر أولًا باستخدام ترويسة للإبلاغ فقط. يحتاج عنصر nonce النائب إلى تكامل مع الخادم؛ ولا يمكن لترويسة ثابتة إنشاء nonce جديد.
script-src · يحتاج strict-dynamic إلى nonce أو hash صالح، ويتجاوز قوائم السماح بالمضيفين في المتصفحات التي تدعمه.
script-src · استبدل العناصر النائبة لـ nonce وhash قبل النشر. أنشئ nonce جديدًا عشوائيًا وغير قابل للتنبؤ لكل استجابة.
لا يمكن لسياسات Meta فرض frame-ancestors أو sandbox، أو استخدام report-uri، أو تقديم سياسة للإبلاغ فقط. أُغفلت توجيهات الإبلاغ هنا.
هذه مراجعة للصياغة والمخاطر وليست تدقيقًا أمنيًا. تحتاج تعبيرات المصادر غير المعروفة أو المشوهة إلى اختبار في المتصفح. تُفرض السياسات الإضافية معًا، ولا يمكنها تخفيف سياسة سابقة. ملف _headers المُنشأ مخصص للاستجابات الثابتة؛ أما الاستجابات الديناميكية فتحتاج إلى إعداد ترويساتها الخاص.
بنية السياسة وتسليمها
سياسة أمان المحتوى من W3C، المستوى 3: https://www.w3.org/TR/CSP3/ . تُفصل التوجيهات بفواصل منقوطة، والقيم بمسافات بيضاء. يتمتع التسليم عبر وسم meta بقدرات أقل من ترويسة استجابة HTTP.
Nonces وhashes والنشر
دليل سياسة أمان المحتوى من MDN: https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP . تنقل strict-dynamic الثقة من نص برمجي مصرّح به عبر nonce أو hash إلى النصوص البرمجية التي يحمّلها، متجاوزةً قوائم السماح بالمضيفين في المتصفحات الداعمة. راجع سلوك النصوص البرمجية الموثوقة واختبر السياسة النهائية.
طريقة الاستخدام
- اختر إعدادًا مسبقًا أو الصق سياسة موجودة.
- فعّل التوجيهات وعدّل القيم المفصولة بمسافات، ثم راجع التحذيرات.
- اختر تنسيق الإخراج، وانسخه، واختبره مقابل موارد موقعك.
الخصوصية والقيود
تبقى سياستك في المتصفح. لا يتم الاتصال بأي موقع.
أدوات ذات صلة
الأسئلة الشائعة
هل يمكنني استخدام العنصر النائب nonce كما هو؟
لا. أنشئ nonce غير قابل للتنبؤ لكل استجابة، وضع القيمة المطابقة في البرامج النصية الموثوقة. لا يمكن لترويسة ثابتة إنشاء nonce. استبدل العناصر النائبة لـ hash بالـ hash الفعلي للمحتوى المقصود.
ما الذي لا تستطيع سياسة meta فعله؟
لا يمكنها فرض frame-ancestors أو sandbox، أو استخدام report-uri، أو تقديم سياسة report-only. يحذف إخراج meta توجيهات إعداد التقارير، ويجب أن يظهر مبكرًا في رأس المستند.
هل ينشئ report-to نقطة نهاية لإعداد التقارير؟
لا. فهو يحدد مجموعة تحتاج إلى ترويسة استجابة Reporting-Endpoints منفصلة. يُعد report-uri أقدم، ويختلف دعم المتصفحات له. لا ترسل هذه الأداة أي تقارير.
هل الإعدادات المسبقة مضمونة للعمل مع موقعي؟
لا. ابدأ بتسليم HTTP بصيغة report-only، وتحقق من الموارد التي يحتاج إليها موقعك. تتحد السياسات الموجودة مع السياسة الجديدة، ولا يمكن لسياسة ثانية تخفيف قيد سابق. لا يغطي تسليم _headers الثابت الاستجابات المُنشأة ديناميكيًا.
أداة مجانية · عدد مرات الاستخدام في المتصفح · لا يتطلب حسابًا