CSP作成・検証ツール

使い方

1. ポリシーに、ディレクティブを1行に1つずつ書きます。script-srcのように、名前は正しく書いてください。
2. 配信方法を選びます。Content-Security-Policyはポリシーを強制し、Content-Security-Policy-Report-Onlyは、最初に試すためのヘッダーです。
3. リソースごとに適用されるルールを読んで、どのディレクティブがスクリプト、スタイル、画像、フレームを制限するかを確かめます。
4. ヘッダーの行をサーバーにコピーし、結果の下に一覧で出た注意をそれぞれ直します。

リソースに適用されるルール

ブラウザは、リソースの種類ごとに1つのディレクティブで確認します。そのディレクティブがない場合は、決まった順にさかのぼります。表に示される順番は、ブラウザがたどる順番です。この順番は、CSPレベル3の6.8.3節によります。

• スクリプト：script-src-elem、次にscript-src、そしてdefault-src。
• インラインのイベントハンドラー：script-src-attr、次にscript-src、そしてdefault-src。
• スタイルシート：style-src-elem、次にstyle-src、そしてdefault-src。インラインのstyle属性も、style-src-attrで同じ形をたどります。
• フレーム：frame-src、次にchild-src、そしてdefault-src。
• ワーカー：worker-src、次にchild-src、次にscript-src、そしてdefault-src。
• 画像、フォント、音声と動画、プラグイン、マニフェスト、fetchのリクエスト：それぞれ独自のディレクティブ、次にdefault-src。

ツールが読むこと

ディレクティブはセミコロンで区切られますが、このツールは改行も受け付けます。名前は最初の空白までが読まれ、大文字と小文字は区別しません。同じディレクティブが2回現れると、最初のものが有効になり、重複は読み飛ばされます（CSPレベル3、2.2.1節）。

• 'self'や'none'のようなキーワードは、一重引用符で囲みます。'none'は、そのリストの中で単独で使わなければなりません。
• nonceは'nonce-'に続けてbase64の値です。ハッシュは、sha256、sha384、sha512のどれかに、ダッシュとbase64の値を続けたものです（2.3.1節）。
• ディレクティブの値の中にカンマは使えません。カンマはヘッダーでポリシーを区切るためです。

ツールがしないこと

• ページを読み込んだり、ブラウザでポリシーを試したりはしません。表に示すのは、ブラウザが使うルールであり、ページが今も動くかどうかではありません。
• キーワード、nonce、ハッシュのつづりは確かめますが、ホストやスキームの送信元は詳しくは確かめません。
• リストにないディレクティブ（sandboxなど）は判断しません。それらはヘッダーの行に、変更されずに残ります。

よくある質問