Inspetor de segurança.
Sentir falta ou falta de segurança e entender o que cada um faz.
Como ele mede
- Os cabeçalhos são lidos da resposta final após redirecionamentos.
- Achados são limitados à presença e alguns padrões fracos bem conhecidos, cada um com uma explicação.
Limites
- Cabeçalhos sozinhos não estabelecem que um site é seguro, e cabeçalhos perdidos não provam que é vulnerável. Esta é uma revisão de configuração, não uma avaliação de vulnerabilidade.
- Um CSP precisa testar suas próprias páginas, uma política rigorosa pode quebrar a funcionalidade legítima.
Solução de problemas
- CSP marcado fraco
- A política permite inseguras ou selvagens. Mova-se para os nonces ou hashes gradualmente, usando o modo somente de relatório primeiro.