CSP-Builder
CSP Builder
Baut eine Content-Security-Policy aus einem geführten Formular oder aus einem Report und erklärt jede Direktive.
Content-Security-Policy ist der Header, der einen Cross-Site-Scripting-Fehler von einer Kompromittierung in eine blockierte Konsolenmeldung verwandelt, und zugleich der Header, der am häufigsten in einer Form ausgeliefert wird, die nichts bewirkt. Dieses Werkzeug baut ihn Direktive für Direktive auf und erklärt, was jede tatsächlich verhindert.
Vorhandene Richtlinie laden
Der Rückfall für jede Fetch-Direktive, die Sie nicht ausdrücklich setzen.
Woher Skripte geladen werden dürfen. Die Direktive, die XSS tatsächlich stoppt.
Woher Stylesheets geladen werden dürfen.
Woher Bilder geladen werden dürfen.
Woher Schriften geladen werden dürfen.
Wohin fetch, XHR, WebSocket und EventSource verbinden dürfen.
Woher <audio> und <video> geladen werden dürfen.
Woher <object>/<embed> geladen werden dürfen. Meist ist 'none' am besten.
Woher <iframe>-Dokumente geladen werden dürfen.
Wer diese Seite in einen Frame setzen darf — der moderne Ersatz für X-Frame-Options.
Was in <base href> stehen darf. Beschränken Sie es auf 'self' oder 'none'.
Wohin Formulare abschicken dürfen.
Woher Worker, SharedWorker und Service Worker geladen werden dürfen.
Woher das Web-App-Manifest geladen werden darf.
Schreibt http://-Anfragen für Unterressourcen auf https:// um.
Blockiert jede http://-Unterressource rundweg (veraltet).
- ⚠ Kein frame-ancestors: fügen Sie es hinzu (etwa 'none' oder 'self'), um festzulegen, wer die Seite framen darf.
- ⚠ Kein base-uri: fügen Sie base-uri 'self' hinzu, um das Einschleusen eines <base>-Tags zu unterbinden.
Content-Security-Policy
default-src 'self'; script-src 'self'So funktioniert es
Beginnen Sie mit dem Formular oder mit einem Bericht
Das geführte Formular fragt, woher Skripte, Stylesheets, Bilder und Verbindungen kommen. Wenn Sie bereits Verstoßberichte haben, fügen Sie sie ein, und die Quellen werden aus dem abgeleitet, was tatsächlich geladen wurde.
Rollen Sie sie zuerst im Report-Only-Modus aus
`Content-Security-Policy-Report-Only` protokolliert Verstöße, ohne zu blockieren. Lassen Sie ihn eine Woche laufen, und die Berichte nennen das Drittanbieter-Embed, an das sich niemand erinnert hat.
Entfernen Sie `unsafe-inline` zuletzt, und richtig
Eine Richtlinie mit `script-src 'unsafe-inline'` blockiert fast nichts. Ersetzen Sie es durch eine Nonce pro Antwort oder durch Hashes der Inline-Blöcke – das Werkzeug erzeugt beide Formen.
Häufige Fragen
Testet das Werkzeug meine Website?
Nein. Es setzt eine Richtlinie aus dem zusammen, was Sie ihm sagen, und erklärt sie. Zu prüfen, was eine laufende Website gerade sendet, ist die Aufgabe des Security-Header-Scanners.
Warum lässt meine Richtlinie immer noch Inline-Skripte zu?
Eine Nonce oder ein Hash in `script-src` wird ignoriert, wenn in derselben Direktive auch `unsafe-inline` steht – aus Gründen der Abwärtskompatibilität. Sie können nicht beides behalten: Der Fallback gewinnt.
Reicht `default-src 'self'` allein aus?
Es ist eine gute Grundlage, aber mehrere Direktiven fallen nicht darauf zurück – darunter `frame-ancestors`, `form-action` und `base-uri`. Die müssen ausdrücklich gesetzt werden, und dieses Werkzeug setzt sie.
Eingabe aus
Subresource-Integrity-Hash
Subresource Integrity Hash
Berechnet das Subresource-Integrity-Attribut (sha256/384/512) für ein Skript oder Stylesheet, das Sie einfügen oder ablegen.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
Sicherheitsheader-Scan
Security Header Scan
Benotet die HSTS-, CSP-, Frame-, Referrer- und Permissions-Header einer Website und zeigt, was zu ergänzen ist.
Passwort-Generator
Password Generator
Erzeugt zufällige Passwörter mit Länge, Zeichensatz und Regeln für verwechselbare Zeichen, bei Bedarf in Masse – ohne Upload, komplett im Browser.
Danach
Diese Tools nehmen an, was dieses hier erzeugt, das Ergebnis kann also direkt weiter.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
HTTP-Header prüfen
HTTP Header Inspector
Ruft eine URL ab und zeigt die vollständigen Antwort-Header, die Redirect-Kette, Zeiten und die verwendete Kompression.
Sicherheitsheader-Scan
Security Header Scan
Benotet die HSTS-, CSP-, Frame-, Referrer- und Permissions-Header einer Website und zeigt, was zu ergänzen ist.
Subresource-Integrity-Hash
Subresource Integrity Hash
Berechnet das Subresource-Integrity-Attribut (sha256/384/512) für ein Skript oder Stylesheet, das Sie einfügen oder ablegen.
Verdächtige URL prüfen
Suspicious URL Check
Untersucht die Form eines Links, bevor Sie ihn öffnen – ähnlich aussehende Zeichen, IP-Adressen als Host, @-Tricks, tiefe Subdomains, ungewöhnliche Ports, Kurzlink-Dienste – und verfolgt auf Wunsch seine Weiterleitungen und schlägt das Registrierungsdatum der Domain nach. Keine Reputationsdatenbank.
Base64 kodieren und dekodieren
Base64 Encoder & Decoder
Kodiert und dekodiert Base64 und Base64URL für Text oder Dateien und behandelt UTF-8 korrekt.